Gitaly TLS 지원

1. Gitaly 서버용 인증서를 생성합니다.

2. Gitaly 클라이언트에서 인증서(또는 인증서 기관)을 /etc/gitlab/trusted-certs로 복사합니다:

   sudo cp cert.pem /etc/gitlab/trusted-certs/
   

3. Gitaly 클라이언트에서 /etc/gitlab/gitlab.rb의 git_data_dirs를 다음과 같이 편집합니다:

   git_data_dirs({
     'default' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage1' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage2' => { 'gitaly_address' => 'tls://gitaly2.internal:9999' },
   })
   

4. 파일을 저장하고 GitLab 재구성을 수행합니다.

5. Gitaly 서버에서 /etc/gitlab/ssl 디렉토리를 만들고 키 및 인증서를 복사합니다:

   sudo mkdir -p /etc/gitlab/ssl
   sudo chmod 755 /etc/gitlab/ssl
   sudo cp key.pem cert.pem /etc/gitlab/ssl/
   sudo chmod 644 /etc/gitlab/ssl/cert.pem
   sudo chmod 600 /etc/gitlab/ssl/key.pem
   # Linux 패키지 설치의 경우 'git'이 기본 사용자 이름입니다. 기본값에서 변경된 경우 다음 명령을 수정하세요
   sudo chown -R git /etc/gitlab/ssl
   

6. 모든 Gitaly 서버 및 클라이언트에 Gitaly 서버 인증서(또는 인증서 기관)을 /etc/gitlab/trusted-certs에 복사합니다. 이렇게 하면 Gitaly 서버 및 클라이언트가 자체 또는 다른 Gitaly 서버로 호출할 때 인증서를 신뢰할 수 있습니다:

   sudo cp cert1.pem cert2.pem /etc/gitlab/trusted-certs/
   

7. /etc/gitlab/gitlab.rb를 편집하고 다음을 추가합니다:

   gitaly['configuration'] = {
      # ...
      tls_listen_addr: '0.0.0.0:9999',
      tls: {
        certificate_path: '/etc/gitlab/ssl/cert.pem',
        key_path: '/etc/gitlab/ssl/key.pem',
      },
   }
   

8. 파일을 저장하고 GitLab 재구성을 수행합니다.
9. Gitaly 클라이언트(예: Rails 애플리케이션)에서 sudo gitlab-rake gitlab:gitaly:check를 실행하여 Gitaly 서버에 연결할 수 있는지 확인합니다.
10. Gitaly 연결 유형을 관찰하여 Gitaly 트래픽이 TLS로 제공되는지 확인합니다.
11. 선택 사항: 보안을 강화합니다.
    1. /etc/gitlab/gitlab.rb에서 gitaly['configuration'][:listen_addr]의 주석 처리 또는 삭제를 통해 비-TLS 연결을 비활성화합니다.
    2. 파일을 저장합니다.
    3. GitLab 재구성을 수행합니다.

1. Gitaly 서버용 인증서를 생성합니다.

2. Gitaly 클라이언트에서 인증서를 시스템 신뢰 인증서에 복사합니다:

   sudo cp cert.pem /usr/local/share/ca-certificates/gitaly.crt
   sudo update-ca-certificates
   

3. Gitaly 클라이언트에서 /home/git/gitlab/config/gitlab.yml의 storages를 다음과 같이 편집합니다:

   gitlab:
     repositories:
       storages:
         default:
           gitaly_address: tls://gitaly1.internal:9999
           path: /some/local/path
         storage1:
           gitaly_address: tls://gitaly1.internal:9999
           path: /some/local/path
         storage2:
           gitaly_address: tls://gitaly2.internal:9999
           path: /some/local/path
   

   참고: /some/local/path는 존재하는 로컬 폴더로 설정되어 있어야 하지만 이 폴더에는 데이터가 저장되지 않습니다. Gitaly 이슈 #1282가 해결될 때까지 이 요구 사항이 제거될 예정입니다.

4. 파일을 저장하고 GitLab 재시작을 수행합니다.

5. Gitaly 서버에서 /etc/default/gitlab을 생성하거나 편집하고 다음을 추가합니다:

   export SSL_CERT_DIR=/etc/gitlab/ssl
   

6. Gitaly 서버에서 /etc/gitlab/ssl 디렉토리를 만들고 키 및 인증서를 복사합니다:

   sudo mkdir -p /etc/gitlab/ssl
   sudo chmod 755 /etc/gitlab/ssl
   sudo cp key.pem cert.pem /etc/gitlab/ssl/
   sudo chmod 644 /etc/gitlab/ssl/cert.pem
   sudo chmod 600 /etc/gitlab/ssl/key.pem
   # Gitaly를 실행시키는 동일한 사용자에게 소유권을 설정합니다.
   sudo chown -R git /etc/gitlab/ssl
   

7. 모든 Gitaly 서버 인증서(또는 인증서 기관)를 시스템 신뢰 인증서 폴더로 복사하여 Gitaly 서버가 자체 또는 다른 Gitaly 서버로 호출할 때 인증서를 신뢰할 수 있도록 합니다.

   sudo cp cert.pem /usr/local/share/ca-certificates/gitaly.crt
   sudo update-ca-certificates
   

8. /home/git/gitaly/config.toml을 편집하고 다음을 추가합니다:

   tls_listen_addr = '0.0.0.0:9999'
   
   [tls]
   certificate_path = '/etc/gitlab/ssl/cert.pem'
   key_path = '/etc/gitlab/ssl/key.pem'
   

9. 파일을 저장하고 GitLab 재시작을 수행합니다.
10. Gitaly 연결 유형을 관찰하여 Gitaly 트래픽이 TLS로 제공되는지 확인합니다.
11. 선택 사항: 보안을 강화합니다.
    1. /home/git/gitaly/config.toml에서 listen_addr를 주석 처리하거나 삭제하여 비-TLS 연결을 비활성화합니다.
    2. 파일을 저장합니다.
    3. GitLab 재시작을 수행합니다.

/etc/gitlab/ssl 디렉터리 내의 SSL 인증서 내용이 업데이트되었지만 /etc/gitlab/gitlab.rb에 구성 변경이 없는 경우 GitLab을 재구성해도 Gitaly에 영향을 미치지 않습니다. 대신, Gitaly가 인증서를 로드하려면 Gitaly를 수동으로 재시작해아 합니다:

sudo gitlab-ctl restart gitaly

/etc/gitlab/trusted-certs에서 인증서를 변경 또는 업데이트하고 /etc/gitlab/gitlab.rb 파일을 수정하지 않은 경우:

1. 시스템에서 신뢰하는 인증서의 심볼릭 링크가 업데이트되도록 GitLab을 재구성하십시오.

2. Gitaly가 인증서를 로드하려면 Gitaly를 수동으로 재시작해아 합니다:

   sudo gitlab-ctl restart gitaly
   

/etc/gitlab/ssl 디렉터리 내의 SSL 인증서 내용이 업데이트된 경우, 인증서를 Gitaly 프로세스에서 로드하려면 GitLab을 재시작해야 합니다.

/usr/local/share/ca-certificates에서 인증서를 변경 또는 업데이트한 경우:

1. 시스템의 신뢰할 수 있는 저장소를 업데이트하려면 sudo update-ca-certificates를 실행하십시오.
2. Gitaly가 인증서를 로드하려면 GitLab을 재시작해야 합니다.