GitLab과 LDAP 통합

Tier: Free, Premium, Ultimate Offering: Self-managed

GitLab은 LDAP(Lightweight Directory Access Protocol)와 통합하여 사용자 인증을 지원합니다.

이 통합은 Microsoft Active Directory, Apple Open Directory, Open LDAP, 389 Server를 포함한 대부분의 LDAP 호환 디렉터리 서버와 작동합니다.

note
GitLab은 Microsoft Active Directory 신뢰를 지원하지 않습니다.

LDAP를 통해 추가된 사용자들은 다음과 같습니다:

  • 보통 라이선스가 할당된 사용자를 사용합니다.
  • GitLab 사용자 이름 또는 이메일 및 LDAP 비밀번호를 사용하여 Git에 인증할 수 있습니다. 비밀번호 인증을 사용하지 않더라도 가능합니다.

LDAP 식별 이름(DN)은 기존 GitLab 사용자와 연관시킬 때 다음과 같습니다:

  • 기존 사용자가 처음으로 LDAP을 사용하여 GitLab에 로그인할 때.
  • LDAP 이메일 주소가 기존 GitLab 사용자의 주 이메일 주소인 경우. LDAP 이메일 속성이 GitLab 사용자 데이터베이스에 없는 경우 새로운 사용자가 생성됩니다.

기존 GitLab 사용자가 자체 LDAP 로그인을 활성화하려는 경우 다음을 수행해야 합니다:

  1. GitLab 이메일 주소가 LDAP 이메일 주소와 일치하는지 확인합니다.
  2. LDAP 자격 증명을 사용하여 GitLab에 로그인합니다.

보안

GitLab은 사용자가 LDAP에서 여전히 활성 상태인지 확인합니다.

사용자는 LDAP에서 다음과 같이 비활성으로 간주됩니다:

  • 디렉터리에서 완전히 제거된 경우.
  • 구성된 base DN 또는 user_filter 검색 외부에 있는 경우.
  • Active Directory에서 사용자 계정 컨트롤 속성을 통해 비활성 또는 비활성화되었음을 나타내는 경우. 이는 속성 userAccountControl:1.2.840.113556.1.4.803이 비트 2로 설정된 경우입니다.

GitLab은 LDAP 사용자의 상태를 확인합니다:

  • 모든 인증 제공자를 사용하여 로그인할 때. GitLab 14.4 및 이전 버전의 경우 로그인할 때만 상태를 확인했습니다.
  • 활성 웹 세션이나 토큰 또는 SSH 키를 사용하여 Git 요청을 하는 경우, 시간당 한 번.
  • LDAP 사용자 이름과 비밀번호를 사용하여 Git을 통한 HTTP 요청을 수행할 때.
  • 사용자 동기화를 하는 동안 하루에 한 번.

LDAP에서 더 이상 활성 상태가 아닌 경우:

  • 로그아웃됩니다.
  • ldap_blocked 상태에 놓입니다.
  • LDAP에서 다시 활성화될 때까지 어떤 인증 제공자를 사용하여도 로그인할 수 없습니다.

보안 위험

LDAP 사용자가 LDAP 서버에서 mail, email 또는 userPrincipalName 속성을 변경할 수없는 경우에만 LDAP 통합을 사용해야 합니다. 이러한 사용자는 GitLab 서버의 어떤 계정이든지 장악할 수 있습니다.

이메일 주소를 공유할 수 있는 LDAP 사용자. 동일한 이메일 주소를 가진 LDAP 사용자는 동일한 GitLab 계정을 공유할 수 있습니다.

LDAP 구성

필수 사항:

  • 사용자는 이메일 주소를 사용하려면 LDAP을 구성해야 합니다. 이메일 주소를 사용하여 로그인하든 하지 않든 이메일 주소를 가져야 합니다.

LDAP을 구성하려면 구성 파일의 설정을 편집해야 합니다.

GitLab 설정에 따라 편집해야 할 파일이 다릅니다:

리눅스 패키지 (Omnibus)

  1. /etc/gitlab/gitlab.rb 파일을 편집합니다: 

    gitlab_rails['ldap_enabled'] = true
gitlab_rails['ldap_servers'] = {
  'main' => {
    'label' => 'LDAP',
    'host' =>  'ldap.mydomain.com',
    'port' => 636,
    'uid' => 'sAMAccountName',
    'bind_dn' => 'CN=Gitlab,OU=Users,DC=domain,DC=com',
    'password' => '<bind_user_password>',
    'encryption' => 'simple_tls',
    'verify_certificates' => true,
    'timeout' => 10,
    'active_directory' => false,
    'user_filter' => '(employeeType=developer)',
    'base' => 'dc=example,dc=com',
    'lowercase_usernames' => 'false',
    'retry_empty_result_with_codes' => [80],
    'allow_username_or_email_login' => false,
    'block_auto_created_users' => false
  }
}

  2. 파일을 저장하고 GitLab을 다시 구성합니다: 

    sudo gitlab-ctl reconfigure
Helm 차트 (쿠버네티스)

  1. Helm 값을 내보냅니다: 

    helm get values gitlab > gitlab_values.yaml

  2. gitlab_values.yaml 파일을 편집합니다: 

    global:
  appConfig:
    ldap:
      servers:
        main:
          label: 'LDAP'
          host: 'ldap.mydomain.com'
          port: 636
          uid: 'sAMAccountName'
          bind_dn: 'CN=Gitlab,OU=Users,DC=domain,DC=com'
          password: '<bind_user_password>'
          encryption: 'simple_tls'
          verify_certificates: true
          timeout: 10
          active_directory: false
          user_filter: '(employeeType=developer)'
          base: 'dc=example,dc=com'
          lowercase_usernames: false
          retry_empty_result_with_codes: [80]
          allow_username_or_email_login: false
          block_auto_created_users: false

  3. 파일을 저장하고 새로운 값을 적용합니다: 

    helm upgrade -f gitlab_values.yaml gitlab gitlab/gitlab

Helm 차트로 설치한 GitLab에 대한 LDAP를 구성하는 방법에 대한 자세한 내용은 여기를 참조하세요.

도커

  1. docker-compose.yml 파일을 편집합니다: 

    version: "3.6"
services:
  gitlab:
    image: 'gitlab/gitlab-ee:latest'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        gitlab_rails['ldap_enabled'] = true
        gitlab_rails['ldap_servers'] = {
          'main' => {
            'label' => 'LDAP',
            'host' =>  'ldap.mydomain.com',
            'port' => 636,
            'uid' => 'sAMAccountName',
            'bind_dn' => 'CN=Gitlab,OU=Users,DC=domain,DC=com',
            'password' => '<bind_user_password>',
            'encryption' => 'simple_tls',
            'verify_certificates' => true,
            'timeout' => 10,
            'active_directory' => false,
            'user_filter' => '(employeeType=developer)',
            'base' => 'dc=example,dc=com',
            'lowercase_usernames' => 'false',
            'retry_empty_result_with_codes' => [80],
            'allow_username_or_email_login' => false,
            'block_auto_created_users' => false
          }
        }

  2. 파일을 저장하고 GitLab을 다시 시작합니다: 

    docker compose up -d
자체 컴파일 (소스)

  1. /home/git/gitlab/config/gitlab.yml 파일을 편집합니다: 

    production: &base
  ldap:
    enabled: true
    servers:
      main:
        label: 'LDAP'
        host: 'ldap.mydomain.com'
        port: 636
        uid: 'sAMAccountName'
        bind_dn: 'CN=Gitlab,OU=Users,DC=domain,DC=com'
        password: '<bind_user_password>'
        encryption: 'simple_tls'
        verify_certificates: true
        timeout: 10
        active_directory: false
        user_filter: '(employeeType=developer)'
        base: 'dc=example,dc=com'
        lowercase_usernames: false
        retry_empty_result_with_codes: [80]
        allow_username_or_email_login: false
        block_auto_created_users: false

  2. 파일을 저장하고 GitLab을 다시 시작합니다: 

    # systemd를 사용하는 시스템의 경우
sudo systemctl restart gitlab.target
   
# SysV init를 사용하는 시스템의 경우
sudo service gitlab restart

다양한 LDAP 옵션에 대한 자세한 내용은 gitlab.yml.example의 ldap 설정을 참조하세요.

LDAP를 구성한 후 구성을 테스트하려면 LDAP 확인 레이크 작업을 사용합니다.

기본 구성 설정

  • hosts 구성 설정은 GitLab 14.7에서 소개되었습니다.

다음 기본 설정이 가능합니다:

설정 필요 여부 유형 설명
label 필요 문자열 LDAP 서버의 사용자 친화적 이름입니다. 로그인 페이지에 표시됩니다. 예시: '파리' 또는 'Acme, Ltd.'
host 필요 문자열 LDAP 서버의 IP 주소 또는 도메인 이름입니다. hosts가 정의된 경우 무시됩니다. 예시: 'ldap.mydomain.com'
port 필요 정수 LDAP 서버에 연결할 포트입니다. hosts가 정의된 경우 무시됩니다. 예시: 389 또는 636 (SSL용)
uid 필요 문자열 사용자 로그인에 사용되는 사용자 이름에 매핑되는 LDAP 속성입니다. uid에 매핑되는 값이 아니라 속성이어야 합니다. GitLab 사용자 이름에 영향을 주지 않습니다 (자세한 내용은 attributes section을 참조하세요). 예시: 'sAMAccountName' 또는 'uid' 또는 'userPrincipalName'
base 필요 문자열 사용자를 검색할 수 있는 기본 위치입니다. 예시: 'ou=people,dc=gitlab,dc=example' 또는 'DC=mydomain,DC=com'
encryption 필요 문자열 암호화 방법 (method 키는 encryption으로 대체됨). 세 가지 값 중 하나를 가질 수 있습니다: 'start_tls', 'simple_tls', 또는 'plain'. simple_tls는 LDAP 라이브러리의 ‘Simple TLS’에 해당합니다. start_tls는 일반적인 TLS와 혼동되지 않도록 주의하세요. simple_tls를 지정하면 일반적으로 포트 636에서 작동하며, start_tls는 포트 389에서 작동합니다. plain은 또한 포트 389에서 작동합니다.
hosts 필요 문자열과 정수의 배열 연결을 열 호스트 및 포트 쌍의 배열입니다. 각 구성된 서버는 동일한 데이터 세트를 가져야 합니다. 이는 여러 구별된 LDAP 서버를 구성하는 것이 아니라 장애 조치를 구성하는 것입니다. 호스트는 구성된 순서대로 시도됩니다. 예시: [['ldap1.mydomain.com', 636], ['ldap2.mydomain.com', 636]]

… (중략)

SSL 구성 설정

tls_options 이름/값 쌍 아래에 SSL 구성 설정을 구성할 수 있습니다. 다음 설정은 모두 선택 사항입니다:

설정 설명 예시
ca_file 내부 CA가 필요한 경우 PEM 형식의 CA 인증서가 포함된 파일의 경로를 지정합니다. '/etc/ca.pem'
ssl_version OpenSSL이 기본적으로 적합하지 않은 경우 OpenSSL이 사용할 SSL 버전을 지정합니다. 'TLSv1_1'
ciphers LDAP 서버와의 통신에 사용할 특정 SSL 암호들을 지정합니다. 'ALL:!EXPORT:!LOW:!aNULL:!eNULL:!SSLv2'
cert 클라이언트 인증서입니다. '-----BEGIN CERTIFICATE----- <REDACTED> -----END CERTIFICATE -----'
key 클라이언트 개인 키입니다. '-----BEGIN PRIVATE KEY----- <REDACTED> -----END PRIVATE KEY -----'

아래 예시는 tls_options에서 ca_file 및 ssl_version을 설정하는 방법을 보여줍니다:

Linux package (Omnibus)

  1. /etc/gitlab/gitlab.rb 파일 수정: 

    gitlab_rails['ldap_enabled'] = true
gitlab_rails['ldap_servers'] = {
  'main' => {
    'label' => 'LDAP',
    'host' =>  'ldap.mydomain.com',
    'port' => 636,
    'uid' => 'sAMAccountName',
    'encryption' => 'simple_tls',
    'base' => 'dc=example,dc=com'
    'tls_options' => {
      'ca_file' => '/path/to/ca_file.pem',
      'ssl_version' => 'TLSv1_2'
    }
  }
}

  2. 파일 저장 후 GitLab 재구성: 

    sudo gitlab-ctl reconfigure
Helm chart (Kubernetes)

  1. Helm 값을 내보냅니다: 

    helm get values gitlab > gitlab_values.yaml

  2. gitlab_values.yaml 파일을 수정합니다: 

    global:
  appConfig:
    ldap:
      servers:
        main:
          label: 'LDAP'
          host: 'ldap.mydomain.com'
          port: 636
          uid: 'sAMAccountName'
          base: 'dc=example,dc=com'
          encryption: 'simple_tls'
          tls_options:
            ca_file: '/path/to/ca_file.pem'
            ssl_version: 'TLSv1_2'

  3. 파일 저장 후 새 값을 적용합니다: 

    helm upgrade -f gitlab_values.yaml gitlab gitlab/gitlab

… (중략)

여기까지가 마지막 탭입니다.

Self-compiled (source)

  1. /home/git/gitlab/config/gitlab.yml 파일 수정: 

    production: &base
  ldap:
    enabled: true
    servers:
      main:
        label: 'LDAP'
        host: 'ldap.mydomain.com'
        port: 636
        uid: 'sAMAccountName'
        encryption: 'simple_tls'
        base: 'dc=example,dc=com'
        tls_options:
          ca_file: '/path/to/ca_file.pem'
          ssl_version: 'TLSv1_2'

  2. 파일 저장 후 GitLab 재시작: 

    # systemd를 실행 중인 시스템의 경우
sudo systemctl restart gitlab.target
   
# SysV init를 실행 중인 시스템의 경우
sudo service gitlab restart

속성 구성 설정

GitLab은 이러한 LDAP 속성을 사용하여 LDAP 사용자의 계정을 생성합니다. 지정된 속성은 다음 중 하나일 수 있습니다.

  • 문자열로 된 속성 이름. 예를 들어, 'mail'.
  • 시도할 속성 이름의 배열. 예를 들어, ['mail', 'email'].

사용자의 LDAP 로그인은 uid로 지정된 LDAP 속성입니다(기본 구성 설정).

다음과 같은 LDAP 속성은 모두 선택 사항입니다. 이러한 속성을 정의하려면 attributes 해시에 정의해야 합니다.

설정 설명 예시
username 사용자 자체 프로젝트에 대한 경로에 사용(예: gitlab.example.com/username/project), 이슈, Merge Request 및 코멘트에서 언급할 때 사용(예: @username). username으로 지정된 속성에 이메일 주소가 포함되어 있으면 GitLab 사용자 이름은 @ 앞의 이메일 주소의 일부입니다. ['uid', 'userid', 'sAMAccountName']
email 사용자 이메일을 위한 LDAP 속성. ['mail', 'email', 'userPrincipalName']
name 사용자 표시 이름에 대한 LDAP 속성. name이 비어 있으면 전체 이름은 first_name 및 last_name에서 가져옵니다. 속성 'cn'또는 'displayName'은 보통 전체 이름을 포함합니다. 또는 'somethingNonExistent'와 같이 없는 속성을 지정하여 first_name 및 last_name의 사용을 강제할 수 있습니다.
first_name 사용자의 이름에 대한 LDAP 속성. name에 대한 구성된 속성이 존재하지 않을 때 사용됩니다. 'givenName'
last_name 사용자의 성에 대한 LDAP 속성. name에 대한 구성된 속성이 존재하지 않을 때 사용됩니다. 'sn'

LDAP 동기화 구성 설정

Tier: Premium, Ultimate Offering: Self-managed

다음 LDAP 동기화 구성 설정은 external_groups가 구성된 경우 필수적이며, 그 외에는 선택 사항입니다:

설정 설명 예시
group_base 그룹을 검색하는 데 사용되는 베이스입니다. 모든 유효한 그룹은 DN의 일부로 이 기본을 가져야 합니다. 'ou=groups,dc=gitlab,dc=example'
admin_group GitLab 관리자가 포함된 그룹의 CN입니다. 전체 DN이 아니면 됩니다. 'administrators'
external_groups 사용자를 외부 사용자로 고려해야 하는 그룹의 CN 배열입니다. 전체 DN이 아니면 됩니다. ['interns', 'contractors']
sync_ssh_keys 사용자의 공개 SSH 키를 포함하는 LDAP 속성. 설정되지 않은 경우 false입니다. 'sshPublicKey' 또는 설정되지 않은 경우 false

여러 LDAP 서버 사용

Tier: Premium, Ultimate Offering: Self-managed

여러 LDAP 서버에 사용자가 있는 경우 GitLab을 사용하도록 구성할 수 있습니다. 추가 LDAP 서버를 추가하려면:

  1. main LDAP 구성을 복제합니다.
  2. 각 복제 구성을 추가 서버의 세부 정보로 편집합니다.
    • 각 추가 서버에 대해 main, secondary, 또는 tertiary와 같이 Provider ID를 선택하세요. 소문자 알파벳 문자를 사용하세요. GitLab은 각 사용자를 특정 LDAP 서버와 연관시키기 위해 Provider ID를 사용합니다.
    • 각 항목에 고유한 label 값을 사용하세요. 이러한 값은 로그인 페이지의 탭 이름으로 사용됩니다.

다음 예제는 최소한의 구성으로 세 개의 LDAP 서버를 구성하는 방법을 보여줍니다:

리눅스 패키지 (Omnibus)

  1. /etc/gitlab/gitlab.rb 파일을 편집합니다: 

    gitlab_rails['ldap_enabled'] = true
gitlab_rails['ldap_servers'] = {
  'main' => {
    'label' => 'GitLab AD',
    'host' =>  'ad.mydomain.com',
    'port' => 636,
    'uid' => 'sAMAccountName',
    'encryption' => 'simple_tls',
    'base' => 'dc=example,dc=com',
  },
     
  'secondary' => {
    'label' => 'GitLab Secondary AD',
    'host' =>  'ad-secondary.mydomain.com',
    'port' => 636,
    'uid' => 'sAMAccountName',
    'encryption' => 'simple_tls',
    'base' => 'dc=example,dc=com',
  },
     
  'tertiary' => {
    'label' => 'GitLab Tertiary AD',
    'host' =>  'ad-tertiary.mydomain.com',
    'port' => 636,
    'uid' => 'sAMAccountName',
    'encryption' => 'simple_tls',
    'base' => 'dc=example,dc=com',
  }
}

  2. 파일을 저장하고 GitLab을 다시 구성하세요: 

    sudo gitlab-ctl reconfigure
헬름 차트 (쿠버네티스)

  1. Helm 값 내보내기: 

    helm get values gitlab > gitlab_values.yaml

  2. gitlab_values.yaml 파일을 편집합니다: 

    global:
  appConfig:
    ldap:
      servers:
        main:
          label: 'GitLab AD'
          host: 'ad.mydomain.com'
          port: 636
          uid: 'sAMAccountName'
          base: 'dc=example,dc=com'
          encryption: 'simple_tls'
        secondary:
          label: 'GitLab Secondary AD'
          host: 'ad-secondary.mydomain.com'
          port: 636
          uid: 'sAMAccountName'
          base: 'dc=example,dc=com'
          encryption: 'simple_tls'
        tertiary:
          label: 'GitLab Tertiary AD'
          host: 'ad-tertiary.mydomain.com'
          port: 636
          uid: 'sAMAccountName'
          base: 'dc=example,dc=com'
          encryption: 'simple_tls'

  3. 파일을 저장하고 새 값 적용하세요: 

    helm upgrade -f gitlab_values.yaml gitlab gitlab/gitlab
도커

  1. docker-compose.yml 파일을 편집합니다: 

    version: "3.6"
services:
  gitlab:
    image: 'gitlab/gitlab-ee:latest'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        gitlab_rails['ldap_enabled'] = true
        gitlab_rails['ldap_servers'] = {
          'main' => {
            'label' => 'GitLab AD',
            'host' =>  'ad.mydomain.com',
            'port' => 636,
            'uid' => 'sAMAccountName',
            'encryption' => 'simple_tls',
            'base' => 'dc=example,dc=com',
          },
             
          'secondary' => {
            'label' => 'GitLab Secondary AD',
            'host' =>  'ad-secondary.mydomain.com',
            'port' => 636,
            'uid' => 'sAMAccountName',
            'encryption' => 'simple_tls',
            'base' => 'dc=example,dc=com',
          },
             
          'tertiary' => {
            'label' => 'GitLab Tertiary AD',
            'host' =>  'ad-tertiary.mydomain.com',
            'port' => 636,
            'uid' => 'sAMAccountName',
            'encryption' => 'simple_tls',
            'base' => 'dc=example,dc=com',
          }
        }

  2. 파일을 저장하고 GitLab을 재시작하세요: 

    docker compose up -d
Self-compiled (source)

  1. /home/git/gitlab/config/gitlab.yml 파일을 편집합니다: 

    production: &base
  ldap:
    enabled: true
    servers:
      main:
        label: 'GitLab AD'
        host: 'ad.mydomain.com'
        port: 636
        uid: 'sAMAccountName'
        base: 'dc=example,dc=com'
        encryption: 'simple_tls'
      secondary:
        label: 'GitLab Secondary AD'
        host: 'ad-secondary.mydomain.com'
        port: 636
        uid: 'sAMAccountName'
        base: 'dc=example,dc=com'
        encryption: 'simple_tls'
      tertiary:
        label: 'GitLab Tertiary AD'
        host: 'ad-tertiary.mydomain.com'
        port: 636
        uid: 'sAMAccountName'
        base: 'dc=example,dc=com'
        encryption: 'simple_tls'

  2. 파일을 저장하고 GitLab을 재시작하세요: 

    # systemd를 실행 중인 시스템
sudo systemctl restart gitlab.target
   
# SysV init를 사용하는 시스템
sudo service gitlab restart

다양한 LDAP 옵션에 대한 자세한 정보는 gitlab.yml.example의 ldap 설정을 참조하세요.

이 예제는 다음과 같은 탭이 있는 로그인 페이지를 생성합니다:

  • GitLab AD.
  • GitLab Secondary AD.
  • GitLab Tertiary AD.

LDAP 사용자 필터 설정

GitLab 액세스를 LDAP 서버의 일부 사용자로 제한하려면 먼저 구성된 base를 좁힙니다. 그러나 필요한 경우 사용자를 더 필터링하려면 LDAP 사용자 필터를 설정할 수 있습니다. 이 필터는 RFC 4515을 준수해야 합니다.

Linux 패키지 (Omnibus)

  1. /etc/gitlab/gitlab.rb 파일 편집: 

    gitlab_rails['ldap_servers'] = {
  'main' => {
    'user_filter' => '(employeeType=developer)'
  }
}

  2. 파일 저장 및 GitLab 재구성: 

    sudo gitlab-ctl reconfigure
Helm 차트 (Kubernetes)

  1. Helm 값 내보내기: 

    helm get values gitlab > gitlab_values.yaml

  2. gitlab_values.yaml 파일 편집: 

    global:
  appConfig:
    ldap:
      servers:
        main:
          user_filter: '(employeeType=developer)'

  3. 파일 저장 및 새 값 적용: 

    helm upgrade -f gitlab_values.yaml gitlab gitlab/gitlab
도커

  1. docker-compose.yml 파일 편집: 

    version: "3.6"
services:
  gitlab:
    image: 'gitlab/gitlab-ee:latest'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        gitlab_rails['ldap_servers'] = {
          'main' => {
            'user_filter' => '(employeeType=developer)'
          }
        }

  2. 파일 저장 및 GitLab 재시작: 

    docker compose up -d
Self-compiled (source)

  1. /home/git/gitlab/config/gitlab.yml 파일 편집: 

    production: &base
  ldap:
    servers:
      main:
        user_filter: '(employeeType=developer)'

  2. 파일 저장 및 GitLab 재시작: 

    # systemd를 실행 중인 시스템의 경우
sudo systemctl restart gitlab.target
   
# SysV init를 실행 중인 시스템의 경우
sudo service gitlab restart

Active Directory 그룹의 중첩 멤버에 대한 액세스를 제한하려면 다음 구문을 사용합니다: 

(memberOf:1.2.840.113556.1.4.1941:=CN=My Group,DC=Example,DC=com)

사용자 필터에서 LDAP_MATCHING_RULE_IN_CHAIN 필터에 대한 자세한 정보는 검색 필터 구문을 참조하세요.

사용자 필터에서 중첩 그룹 동기화를 지원하지만, 그룹 동기화 중첩 그룹 지원과 혼동해서는 안 됩니다.

GitLab은 OmniAuth LDAP에서 사용되는 사용자 정의 필터 구문을 지원하지 않습니다.

user_filter에서 특수 문자 이스케이프

user_filter DN에는 특수 문자가 포함될 수 있습니다. 예를 들어:

  • 쉼표: 

    OU=GitLab, Inc,DC=gitlab,DC=com

  • 여는 괄호와 닫는 괄호: 

    OU=GitLab (Inc),DC=gitlab,DC=com

이러한 문자는 RFC 4515에 문서화된대로 이스케이프해야 합니다.

  • 쉼표는 \2C로 이스케이프합니다. 예: 

    OU=GitLab\2C Inc,DC=gitlab,DC=com

  • 여는 괄호는 \28, 닫는 괄호는 \29으로 이스케이프합니다. 예: 

    OU=GitLab \28Inc\29,DC=gitlab,DC=com

LDAP 사용자명 소문자화 활성화

일부 LDAP 서버는 구성에 따라 대문자 사용자명을 반환할 수 있습니다. 이는 링크 또는 네임스페이스를 대문자로 만드는 등 혼란스러운 문제로 이어질 수 있습니다.

GitLab은 LDAP 서버에서 제공된 사용자명을 자동으로 소문자로 변환할 수 있도록 lowercase_usernames 구성 옵션을 활성화함으로써 이 문제를 해결할 수 있습니다. 이 구성 옵션은 기본적으로 false입니다.

Linux 패키지 (Omnibus)

  1. /etc/gitlab/gitlab.rb 파일 편집: 

    gitlab_rails['ldap_servers'] = {
  'main' => {
    'lowercase_usernames' => true
  }
}

  2. 파일 저장 및 GitLab 재구성: 

    sudo gitlab-ctl reconfigure
Helm 차트 (Kubernetes)

  1. Helm 값 내보내기: 

    helm get values gitlab > gitlab_values.yaml

  2. gitlab_values.yaml 파일 편집: 

    global:
  appConfig:
    ldap:
      servers:
        main:
         lowercase_usernames: true

  3. 파일 저장 및 새 값 적용: 

    helm upgrade -f gitlab_values.yaml gitlab gitlab/gitlab
도커

  1. docker-compose.yml 파일 편집: 

    version: "3.6"
services:
  gitlab:
    image: 'gitlab/gitlab-ee:latest'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        gitlab_rails['ldap_servers'] = {
          'main' => {
            'lowercase_usernames' => true
          }
        }

  2. 파일 저장 및 GitLab 재시작: 

    docker compose up -d
Self-compiled (source)

  1. config/gitlab.yaml 파일 편집: 

    production:
  ldap:
    servers:
      main:
        lowercase_usernames: true

  2. 파일 저장 및 GitLab 재시작: 

    # systemd를 실행 중인 시스템의 경우
sudo systemctl restart gitlab.target
   
# SysV init를 실행 중인 시스템의 경우
sudo service gitlab restart

LDAP 웹 로그인 비활성화

LDAP 자격 증명 대신 SAML과 같은 대체 방법을 선호할 때 LDAP 자격 증명을 웹 UI를 통해 사용하지 못하도록 하는 것이 유용할 수 있습니다. 이렇게 하면 LDAP을 그룹 동기화에 사용할 수 있으면서도 SAML ID 공급자가 사용자 정의 2단계 인증과 같은 추가 확인을 처리할 수 있습니다.

LDAP 웹 로그인이 비활성화되면 사용자는 로그인 페이지에 LDAP 탭을 보지 못합니다. 이는 Git 액세스에 대한 LDAP 자격 증명을 비활성화하는 것은 아닙니다.

Linux 패키지 (Omnibus)

  1. /etc/gitlab/gitlab.rb 파일 편집: 

    gitlab_rails['prevent_ldap_sign_in'] = true

  2. 파일 저장 및 GitLab 재구성: 

    sudo gitlab-ctl reconfigure
Helm 차트 (Kubernetes)

  1. Helm 값 내보내기: 

    helm get values gitlab > gitlab_values.yaml

  2. gitlab_values.yaml 파일 편집: 

    global:
  appConfig:
    ldap:
      preventSignin: true

  3. 파일 저장 및 새 값 적용: 

    helm upgrade -f gitlab_values.yaml gitlab gitlab/gitlab
도커

  1. docker-compose.yml 파일 편집: 

    version: "3.6"
services:
  gitlab:
    image: 'gitlab/gitlab-ee:latest'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        gitlab_rails['prevent_ldap_sign_in'] = true

  2. 파일 저장 및 GitLab 재시작: 

    docker compose up -d
Self-compiled (source)

  1. config/gitlab.yaml 파일 편집: 

    production:
  ldap:
    prevent_ldap_sign_in: true

  2. 파일 저장 및 GitLab 재시작: 

    # systemd를 실행 중인 시스템의 경우
sudo systemctl restart gitlab.target
   
# SysV init를 실행 중인 시스템의 경우
sudo service gitlab restart

GitLab에서 스마트 카드 인증 제공

스마트 카드를 LDAP 서버 및 GitLab와 함께 사용하는 방법에 대한 자세한 정보는 스마트 카드 인증을 참조하세요.

암호화된 자격 증명 사용

구성 파일의 평문으로 저장된 LDAP 통합 자격 증명 대신 선택적으로 LDAP 자격 증명에 대한 암호화된 파일을 사용할 수 있습니다.

전제 조건:

  • 암호화된 자격 증명을 사용하려면 먼저 암호화된 구성을 활성화해야 합니다.

LDAP의 암호화된 구성은 암호화된 YAML 파일에 존재합니다. 파일의 평문 내용은 LDAP 구성의 서버 블록에서의 비밀 설정의 부분집합이어야 합니다.

암호화된 파일의 지원되는 구성 항목은 다음과 같습니다:

  • bind_dn
  • password
Linux package (Omnibus)

  1. 처음에 /etc/gitlab/gitlab.rb에서 LDAP 구성이 다음과 같이 보였다면: 

      gitlab_rails['ldap_servers'] = {
    'main' => {
      'bind_dn' => 'admin',
      'password' => '123'
    }
  }

  2. 암호화된 비밀 편집: 

    sudo gitlab-rake gitlab:ldap:secret:edit EDITOR=vim

  3. LDAP 비밀의 평문 내용을 입력하세요: 

    main:
  bind_dn: admin
  password: '123'
  4. /etc/gitlab/gitlab.rb을 편집하고 bind_dn 및 password 설정을 제거합니다.

  5. 파일을 저장하고 GitLab을 다시 구성합니다: 

    sudo gitlab-ctl reconfigure
Helm chart (Kubernetes)

LDAP 비밀을 저장하기 위해 Kubernetes 시크릿을 사용하세요. 자세한 내용은 Helm LDAP secrets를 참조하세요.

Docker

  1. 처음에 docker-compose.yml에서 LDAP 구성이 다음과 같이 보였다면: 

    version: "3.6"
services:
  gitlab:
    image: 'gitlab/gitlab-ee:latest'
    restart: always
    hostname: 'gitlab.example.com'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        gitlab_rails['ldap_servers'] = {
          'main' => {
            'bind_dn' => 'admin',
            'password' => '123'
          }
        }

  2. 컨테이너에 들어가서 암호화된 비밀 편집: 

    sudo docker exec -t <container_name> bash
gitlab-rake gitlab:ldap:secret:edit EDITOR=vim

  3. LDAP 비밀의 평문 내용을 입력하세요: 

    main:
  bind_dn: admin
  password: '123'
  4. docker-compose.yml을 편집하고 bind_dn 및 password 설정을 제거합니다.

  5. 파일을 저장하고 GitLab을 다시 시작합니다: 

    docker compose up -d
Self-compiled (source)

  1. 처음에 /home/git/gitlab/config/gitlab.yml에서 LDAP 구성이 다음과 같이 보였다면: 

    production:
  ldap:
    servers:
      main:
        bind_dn: admin
        password: '123'

  2. 암호화된 비밀 편집: 

    bundle exec rake gitlab:ldap:secret:edit EDITOR=vim RAILS_ENVIRONMENT=production

  3. LDAP 비밀의 평문 내용을 입력하세요: 

    main:
 bind_dn: admin
 password: '123'
  4. /home/git/gitlab/config/gitlab.yml을 편집하고 bind_dn 및 password 설정을 제거합니다.

  5. 파일을 저장하고 GitLab을 다시 시작합니다: 

    # systemd를 실행하는 시스템의 경우
sudo systemctl restart gitlab.target
   
# SysV init을 실행하는 시스템의 경우
sudo service gitlab restart

LDAP DN 및 이메일 업데이트

LDAP 서버가 GitLab에 사용자를 생성할 때 사용자의 LDAP DN이 사용자의 GitLab 계정과 연결되어 식별자로 지정됩니다.

사용자가 LDAP으로 로그인을 시도할 때 GitLab은 해당 사용자 계정에 저장된 DN을 사용하여 사용자를 찾습니다.

  • GitLab이 DN으로 사용자를 찾아:
    • 해당 사용자의 이메일 주소가 GitLab 계정의 이메일 주소와 일치하면, GitLab은 추가 조치를 취하지 않습니다.
    • 변경되었다면, GitLab은 사용자의 이메일 레코드를 LDAP의 레코드와 일치하도록 업데이트합니다.
  • DN으로 사용자를 찾지 못한 경우, GitLab은 사용자의 이메일 주소를 사용하여 사용자를 찾습니다. 그러면 GitLab은:
    • 해당 사용자의 이메일 주소로 사용자를 찾으면, GitLab은 사용자 계정에 저장된 DN을 업데이트합니다. 두 값은 이제 LDAP에 저장된 정보와 일치합니다.
    • 이메일 주소로 사용자를 찾지 못하면(이메일 주소와 DN이 모두 변경되었다면), 사용자 DN 및 이메일이 변경된 경우를 참조하세요.

익명 LDAP 인증 비활성화

GitLab은 TLS 클라이언트 인증을 지원하지 않습니다. LDAP 서버에서 다음 단계를 수행하세요.

  1. 익명 인증을 비활성화합니다.
  2. 다음 중 한 가지 인증 유형을 활성화합니다:
    • 간단한 인증.
    • 간단한 인증 및 보안 계층(SASL) 인증.

LDAP 서버의 TLS 클라이언트 인증 설정은 의무적이면 안 되며, 클라이언트는 TLS 프로토콜로 인증되어서는 안 됩니다.

LDAP에서 삭제된 사용자

LDAP 서버에서 삭제된 사용자는:

그러나 이러한 사용자는 LDAP 동기화 일정을 조정할 때까지 SSH를 사용하여 Git을 계속할 수 있습니다.

계정을 즉시 삭제하려면 매뉴얼으로 사용자 차단할 수 있습니다.

사용자 이메일 주소 업데이트

LDAP 서버의 이메일 주소는 LDAP을 사용하여 사용자의 진실의 원천으로 간주됩니다.

사용자 이메일 주소의 업데이트는 사용자를 관리하는 LDAP 서버에서 수행되어야 합니다. GitLab에 대한 이메일 주소는 다음과 같이 업데이트됩니다:

업데이트된 사용자의 이전 이메일 주소는 해당 사용자의 커밋 기록을 보존하기 위해 이전 이메일 주소의 보조 이메일 주소가 됩니다.

사용자 업데이트의 예상 동작에 대한 자세한 내용은 LDAP 문제 해결 섹션에서 확인할 수 있습니다.

Google 보안 LDAP

  • GitLab 11.9에서 소개되었습니다.

Google Cloud Identity는 GitLab과 구성할 수 있는 안전한 LDAP 서비스를 제공하며 인증 및 그룹 동기화에 사용될 수 있습니다. 자세한 구성 지침은 Google 보안 LDAP를 참조하십시오.

사용자 및 그룹 동기화

LDAP와 GitLab 간의 사용자 및 그룹 동기화에 대한 자세한 정보는 LDAP 동기화를 참조하십시오.

LDAP에서 SAML로 변경

  1. 다음 위치에 SAML 구성을 추가하십시오:
    • Linux 패키지 설치의 경우 gitlab.rb
    • Helm 차트 설치의 경우 values.yml

  2. 선택 사항. 웹 로그인에서 LDAP 인증을 해제하려면 LDAP 웹 로그인 비활성화를 참조하십시오.

  3. 선택 사항. 사용자 연결 문제를 해결하려면 먼저 해당 사용자의 LDAP 식별 정보를 제거할 수 있습니다.

  4. 사용자가 계정으로 로그인할 수 있는지 확인하십시오. 사용자가 로그인할 수 없는 경우 해당 사용자의 LDAP이 여전히 있는지 확인한 다음 필요한 경우 제거하십시오. 이 문제가 지속되는 경우 로그를 확인하여 문제를 확인하십시오.

  5. 구성 파일에서 다음을 변경하십시오:
    • omniauth_auto_link_user를 saml로만 변경하십시오.
    • omniauth_auto_link_ldap_user를 false로 변경하십시오.
    • ldap_enabled를 false로 변경하십시오. 또한 LDAP 제공자 설정을 주석 처리할 수 있습니다.

문제 해결

LDAP 문제 해결 관리자 가이드를 참조하십시오.