一、私有化部署的核心价值与场景适配

1.1 企业为何选择私有化部署？

在数字化转型浪潮中，企业面临数据主权、合规审计、网络隔离等核心诉求。公有云CI/CD服务虽便捷，但存在代码外泄风险（如SaaS平台可能受第三方数据访问政策影响）、网络延迟导致构建效率低下、功能定制受限等问题。私有化部署GitLab可实现：

• 数据全生命周期控制：代码、制品库、日志等敏感信息完全存储于企业内网
• 性能优化：通过本地化部署消除网络瓶颈，构建速度提升3-5倍（实测案例：某金融企业构建时间从12分钟降至3分钟）
• 合规满足：符合等保2.0三级、GDPR等监管要求，审计日志完整可追溯

1.2 典型适用场景

• 金融行业：核心交易系统需满足银保监会”数据不出域”要求
• 军工/政府：涉密项目禁止使用外部服务
• 大型集团：多子公司需要统一管理但保持数据隔离
• 高性能计算：AI训练任务需专属硬件资源

二、GitLab私有化部署实施路径

2.1 硬件资源规划

组件	最小配置	推荐配置（500人团队）
GitLab服务器	4核8G + 100G SSD	16核32G + 500G NVMe
Redis	2核4G（单机）	4核8G（集群）
PostgreSQL	4核8G + 200G SSD	8核16G + 500G SSD
GitLab Runner	2核4G（每个Runner）	4核8G（并行构建）

关键建议：

• 采用分离架构：Web服务、数据库、缓存独立部署
• 存储选型：SSD用于数据库，大容量HDD用于制品库
• 网络规划：Runner与GitLab服务器同机房部署，减少跨机房延迟

2.2 安装配置全流程

2.2.1 GitLab安装（以CentOS 7为例）

# 添加官方仓库
curl https://packages.gitlab.com/install/repositories/gitlab/gitlab-ee/script.rpm.sh | sudo bash
# 安装GitLab EE版（企业版）
sudo EXTERNAL_URL="http://gitlab.example.com" yum install -y gitlab-ee
# 配置Nginx反向代理（可选）
cat >> /etc/nginx/conf.d/gitlab.conf <<EOF
server {
    listen 80;
    server_name gitlab.example.com;
    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host \$host;
    }
}
EOF

2.2.2 关键配置优化

• 邮件通知：配置SMTP服务（示例为QQ企业邮箱）

  # /etc/gitlab/gitlab.rb
  gitlab_rails['smtp_enable'] = true
  gitlab_rails['smtp_address'] = "smtp.exmail.qq.com"
  gitlab_rails['smtp_port'] = 465
  gitlab_rails['smtp_user_name'] = "ci@example.com"
  gitlab_rails['smtp_password'] = "your_password"
  gitlab_rails['smtp_authentication'] = "login"
  gitlab_rails['smtp_enable_starttls_auto'] = true
  gitlab_rails['smtp_tls'] = true

• 备份策略：设置每日全量备份+增量备份
  ```bash

  创建备份目录

  mkdir -p /var/opt/gitlab/backups
  chown git:git /var/opt/gitlab/backups

配置crontab

0 2 * /opt/gitlab/bin/gitlab-rake gitlabcreate CRON=1

# 三、GitLab Runner深度配置
## 3.1 Runner类型选择
| 类型          | 适用场景                          | 资源占用 |
|---------------|-----------------------------------|----------|
| Shared Runner | 多项目通用构建                    | 高       |
| Specific Runner | 专用项目构建（如Android编译）     | 中       |
| Group Runner  | 特定部门/团队专用                 | 低       |
## 3.2 注册Runner实战
### 3.2.1 Shell执行器配置
```bash
# 获取注册token（管理员界面获取）
sudo gitlab-runner register \
  --non-interactive \
  --url "http://gitlab.example.com/" \
  --registration-token "GR134894123..." \
  --executor "shell" \
  --description "local-shell-runner" \
  --tag-list "linux,docker" \
  --run-untagged="true" \
  --locked="false"

3.2.3 Docker执行器高级配置

# /etc/gitlab-runner/config.toml
[[runners]]
  name = "docker-runner"
  url = "http://gitlab.example.com/"
  token = "xXxXxXxXxXxXxx"
  executor = "docker"
  [runners.docker]
    image = "maven:3.8-jdk-11"
    privileged = true
    disable_cache = false
    volumes = ["/cache", "/var/run/docker.sock:/var/run/docker.sock"]
    shm_size = 2g
  [runners.cache]
    Type = "s3"
    Path = "gitlab-runner"
    Shared = true
    [runners.cache.s3]
      ServerAddress = "minio.example.com"
      AccessKey = "minioadmin"
      SecretKey = "minioadmin"
      BucketName = "gitlab-cache"

四、CI/CD流水线实战

4.1 典型Java项目流水线

# .gitlab-ci.yml
stages:
  - build
  - test
  - deploy
cache:
  key: "$CI_COMMIT_REF_SLUG"
  paths:
    - .m2/repository
build:
  stage: build
  image: maven:3.8-jdk-11
  script:
    - mvn clean package -DskipTests
  artifacts:
    paths:
      - target/*.jar
test:
  stage: test
  image: maven:3.8-jdk-11
  script:
    - mvn test
  artifacts:
    reports:
      junit: target/surefire-reports/*.xml
deploy_dev:
  stage: deploy
  image: alpine:latest
  script:
    - apk add --no-cache openssh-client
    - scp target/*.jar user@dev-server:/opt/app/
    - ssh user@dev-server "systemctl restart app-service"
  only:
    - develop

4.2 高级技巧

• 并行构建：使用parallel指令加速测试

  test:
  stage: test
  parallel:
    matrix:
      - TEST_SUITE: ["unit", "integration"]
  script:
    - mvn test -Dtest=**/*${TEST_SUITE}*Test

• 审批流程：实现生产环境部署卡点

  deploy_prod:
  stage: deploy
  when: manual
  script:
    - ./deploy-prod.sh
  environment:
    name: production
    url: https://app.example.com

五、安全加固最佳实践

5.1 基础安全配置

• 强制双因素认证：

  # /etc/gitlab/gitlab.rb
  gitlab_rails['otp_required_for_login'] = true
  gitlab_rails['otp_required_for_recovery'] = true

• 审计日志：配置日志轮转与远程存储

  # 配置日志轮转
  cat >> /etc/logrotate.d/gitlab <<EOF
  /var/log/gitlab/gitlab-rails/production.log {
  daily
  missingok
  rotate 30
  compress
  delaycompress
  notifempty
  copytruncate
  }
  EOF

5.2 Runner安全防护

• 最小权限原则：为Runner创建专用服务账号
  ```bash

  创建Runner专用用户

  useradd -m -s /bin/bash gitlab-runner
  passwd -l gitlab-runner # 禁止登录

配置sudo权限（仅允许必要命令）

cat >> /etc/sudoers.d/gitlab-runner <<EOF
gitlab-runner ALL=(ALL) NOPASSWD: /usr/bin/docker, /usr/bin/systemctl
EOF

# 六、运维监控体系
## 6.1 监控指标清单
| 指标类别       | 关键指标                          | 告警阈值       |
|----------------|-----------------------------------|----------------|
| GitLab服务     | 响应时间>2s的请求占比             | >5%持续5分钟  |
|                | 数据库连接池使用率                | >80%           |
| Runner         | 构建队列积压数                    | >3个持续10分钟|
| 存储           | 制品库磁盘使用率                  | >90%           |
## 6.2 Prometheus监控配置
```yaml
# gitlab_exporter配置示例
scrape_configs:
  - job_name: 'gitlab'
    static_configs:
      - targets: ['gitlab.example.com:9168']
    metrics_path: '/metrics'
    params:
      format: ['prometheus']

七、常见问题解决方案

7.1 构建卡在”Checking out code”

原因分析：

• Git LFS大文件未正确配置
• 仓库权限不足
• 网络代理问题

解决方案：

# 检查Git LFS配置
git config --global filter.lfs.required true
git config --global filter.lfs.smudge "git-lfs smudge -- %f"
git config --global filter.lfs.clean "git-lfs clean -- %f"
# 调试Runner网络
strace -f -o /tmp/git-clone.log git clone http://gitlab.example.com/repo.git

7.2 Docker执行器权限不足

典型表现：

• 无法访问/var/run/docker.sock
• 构建容器无法启动

解决方案：

# 将Runner用户加入docker组
usermod -aG docker gitlab-runner
# 或使用特权模式（不推荐生产环境）
[[runners]]
  ...
  [runners.docker]
    privileged = true

通过上述系统化部署方案，企业可构建起安全、高效、可扩展的私有化CI/CD平台。实际实施中需结合具体业务场景进行参数调优，建议先在测试环境验证后再推广至生产环境。