GitLab私有化Docker部署指南

一、为何选择Docker部署GitLab私有化？

在云原生时代，Docker容器化技术凭借轻量级、可移植和资源隔离的特性，成为企业私有化部署GitLab的首选方案。相较于传统虚拟机部署，Docker方案可节省30%以上的服务器资源，同时将部署时间从小时级压缩至分钟级。对于需要严格管控代码资产的企业而言，私有化部署不仅能规避公有云服务的数据泄露风险，还能通过定制化配置满足合规审计需求。

典型应用场景包括：

1. 金融行业：满足等保2.0三级要求，实现代码全生命周期本地化管理
2. 制造业：与MES/ERP系统深度集成，构建工业软件研发闭环
3. 跨国企业：通过私有镜像仓库实现全球研发中心代码同步

二、部署前环境准备

2.1 硬件配置要求

组件	最低配置	推荐配置
CPU	2核	4核（支持并发100+用户）
内存	4GB	8GB（含Redis/PostgreSQL）
存储	40GB（SSD）	100GB+（支持备份扩展）
网络	千兆以太网	万兆骨干网

2.2 软件依赖安装

1. # CentOS 7/8 系统预处理
2. sudo yum install -y yum-utils device-mapper-persistent-data lvm2
3. sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
4. sudo yum install docker-ce docker-ce-cli containerd.io
5. sudo systemctl enable --now docker
7. # 验证Docker安装
8. docker run hello-world

2.3 存储卷规划

建议采用三卷分离架构：

1. /var/lib/gitlab/config # 配置文件
2. /var/lib/gitlab/data # 仓库数据
3. /var/lib/gitlab/logs # 日志文件

三、Docker Compose部署方案

3.1 基础部署配置

创建docker-compose.yml文件：

1. version: '3.8'
2. services:
3. web:
4. image: 'gitlab/gitlab-ee:latest'
5. container_name: gitlab
6. restart: unless-stopped
7. hostname: 'gitlab.example.com'
8. environment:
9. GITLAB_OMNIBUS_CONFIG: |
10. external_url 'http://gitlab.example.com'
11. postgresql['enable'] = false
12. gitlab_rails['db_username'] = "gitlab"
13. gitlab_rails['db_password'] = "secure_password"
14. gitlab_rails['db_host'] = "db"
15. redis['enable'] = false
16. gitlab_rails['redis_host'] = "redis"
17. ports:
18. - '80:80'
19. - '443:443'
20. - '2222:22'
21. volumes:
22. - './config:/etc/gitlab'
23. - './logs:/var/log/gitlab'
24. - './data:/var/opt/gitlab'
25. depends_on:
26. - db
27. - redis
29. db:
30. image: postgres:13
31. environment:
32. POSTGRES_USER: gitlab
33. POSTGRES_PASSWORD: secure_password
34. POSTGRES_DB: gitlabhq_production
35. volumes:
36. - './postgres:/var/lib/postgresql/data'
38. redis:
39. image: redis:6-alpine
40. command: redis-server --requirepass "secure_password"
41. volumes:
42. - './redis:/data'

3.2 关键配置参数详解

1. 外部URL设置：必须与DNS解析一致，否则会导致Webhook失败
2. 数据库配置：生产环境建议使用专用数据库服务器
3. SSH端口映射：将容器22端口映射到非标准端口（如2222）增强安全性
4. 时区配置：添加TZ=Asia/Shanghai环境变量确保日志时间准确

3.3 启动与验证

1. # 首次启动（需下载镜像）
2. docker-compose up -d
4. # 验证服务状态
5. docker-compose ps
6. docker logs gitlab --tail 50
8. # 初始密码获取
9. sudo cat /var/lib/gitlab/data/gitlab-rails/initial_root_password

四、生产环境优化

4.1 性能调优

1. 内存限制：在docker-compose.yml中添加mem_limit: 4g
2. Sidekiq并发：通过gitlab_rails['sidekiq_concurrency'] = 25调整
3. Gitaly优化：配置gitaly['concurrency']提升大仓库操作性能

4.2 安全加固

1. HTTPS配置：

   1. external_url 'https://gitlab.example.com'
   2. nginx['ssl_certificate'] = "/etc/gitlab/ssl/gitlab.crt"
   3. nginx['ssl_certificate_key'] = "/etc/gitlab/ssl/gitlab.key"

2. 双因素认证：

   1. # 在omnibus配置中添加
   2. gitlab_rails['gitlab_two_factor_grace_period'] = 48

3. 审计日志：启用logging['format'] = 'json'便于SIEM系统集成

4.3 备份策略

1. # 每日自动备份配置
2. gitlab_rails['backup_path'] = "/var/opt/gitlab/backups"
3. gitlab_rails['backup_keep_time'] = 604800 # 7天
4. gitlab_rails['backup_upload_connection'] = {
5. 'provider' => 'AWS',
6. 'region' => 'ap-northeast-1',
7. 'aws_access_key_id' => '...',
8. 'aws_secret_access_key' => '...'
9. }

五、运维管理最佳实践

5.1 升级流程

1. # 1. 备份当前数据
2. docker-compose exec web gitlab-backup create
4. # 2. 拉取新版本镜像
5. docker pull gitlab/gitlab-ee:15.11.0-ee.0
7. # 3. 逐步升级（先升级web，再升级db）
8. docker-compose down
9. docker-compose up -d

5.2 监控方案

1. Prometheus指标：

   1. prometheus_monitoring['enable'] = true

2. 自定义告警规则：
   ```

   示例：检测502错误

• alert: GitLab502Errors
  expr: increase(nginx_upstream_responses_total{status=”502”}[5m]) > 10
  labels:
  severity: critical
  ```

5.3 故障排查

1. 日志分析：
   ```bash

   查看GitLab主日志

   docker-compose logs —tail 100 web | grep “error”

数据库连接检查

docker-compose exec web bash -c “psql -h db -U gitlab -d gitlabhq_production -c ‘\l’”

2. 2. **常见问题处理**：
3. - **502错误**：检查Sidekiq进程状态`docker-compose exec web gitlab-ctl tail sidekiq`
4. - **邮件发送失败**：验证`/etc/gitlab/gitlab.rb`中的SMTP配置
5. - **仓库访问慢**：调整Gitaly线程数`gitaly['concurrency'] = 10`
7. # 六、进阶功能集成
8. ## 6.1 与CI/CD管道集成
9. ```yaml
10. # 在.gitlab-ci.yml中配置
11. stages:
12. - build
13. - deploy
15. build_job:
16. stage: build
17. image: docker:latest
18. services:
19. - docker:dind
20. script:
21. - docker build -t my-app .
22. - docker push my-registry/my-app:latest

6.2 跨机房同步方案

1. Geo复制配置：

   1. gitlab_rails['geo_secondary_role'] = true
   2. gitlab_rails['geo_postgresql_url'] = "postgres://primary_db:5432/gitlabhq_production"

2. 同步状态监控：

   1. # 查看Geo节点状态
   2. docker-compose exec web gitlab-rake geo:status

6.3 插件扩展机制

1. 自定义钩子：在/var/opt/gitlab/gitlab-shell/hooks/下添加预接收脚本
2. LDAP集成：
   1. gitlab_rails['ldap_enabled'] = true
   2. gitlab_rails['ldap_servers'] = {
   3. 'main' => {
   4. 'label' => 'Company LDAP',
   5. 'host' => 'ldap.example.com',
   6. 'port' => 389,
   7. 'uid' => 'sAMAccountName',
   8. 'bind_dn' => 'CN=ServiceAccount,OU=Users,DC=example,DC=com',
   9. 'password' => 'secure_password'
   10. }
   11. }

七、成本效益分析

部署方式	初期投入	运维成本	扩展成本	适用场景
Docker私有化	中	低	线性	中小型研发团队
Kubernetes集群	高	中	弹性	大型分布式研发体系
虚拟机部署	高	高	阶梯	传统IT架构企业

典型案例显示，30人研发团队采用Docker方案后，年度IT成本降低42%，同时将代码评审效率提升35%。

八、总结与建议

1. 版本选择：生产环境建议使用LTS版本（如15.x系列）
2. 存储方案：优先采用分布式存储（如Ceph）保障数据可靠性
3. 更新策略：遵循”n-2”原则，即保持与最新版相差不超过2个次要版本
4. 灾备方案：配置跨可用区备份，RPO<15分钟，RTO<1小时

通过Docker容器化部署GitLab私有化环境，企业可在保持代码安全可控的前提下，获得与SaaS服务相当的便捷性。实际部署中需特别注意配置文件的权限管理（建议设置750权限）和定期安全审计（每月至少一次）。对于超过200人的研发团队，建议逐步向Kubernetes迁移以获得更好的资源调度能力。