Gitaly TLS 지원

1. Gitaly 서버용 인증서를 생성합니다.

2. Gitaly 클라이언트에서 인증서(또는 해당 인증 기관)를 /etc/gitlab/trusted-certs로 복사합니다:

   sudo cp cert.pem /etc/gitlab/trusted-certs/
   

3. Gitaly 클라이언트에서 /etc/gitlab/gitlab.rb의 git_data_dirs를 다음과 같이 편집합니다:

   git_data_dirs({
     'default' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage1' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage2' => { 'gitaly_address' => 'tls://gitaly2.internal:9999' },
   })
   

4. 파일을 저장하고 GitLab 재구성하기를 합니다.

5. Gitaly 서버에서 /etc/gitlab/ssl 디렉터리를 생성하고 키와 인증서를 복사합니다:

   sudo mkdir -p /etc/gitlab/ssl
   sudo chmod 755 /etc/gitlab/ssl
   sudo cp key.pem cert.pem /etc/gitlab/ssl/
   sudo chmod 644 /etc/gitlab/ssl/cert.pem
   sudo chmod 600 /etc/gitlab/ssl/key.pem
   # Linux 패키지 설치의 경우, 'git'은 기본 사용자입니다. 기본에서 변경된 경우 다음 명령을 수정하세요.
   sudo chown -R git /etc/gitlab/ssl
   

6. 모든 Gitaly 서버와 클라이언트의 /etc/gitlab/trusted-certs에 모든 Gitaly 서버 인증서(또는 해당 인증 기관)를 복사하여 Gitaly 서버와 클라이언트가 자신 또는 다른 Gitaly 서버를 호출할 때 인증서를 신뢰하도록 합니다:

   sudo cp cert1.pem cert2.pem /etc/gitlab/trusted-certs/
   

7. /etc/gitlab/gitlab.rb를 편집하고 다음을 추가합니다:

   gitaly['configuration'] = {
      # ...
      tls_listen_addr: '0.0.0.0:9999',
      tls: {
        certificate_path: '/etc/gitlab/ssl/cert.pem',
        key_path: '/etc/gitlab/ssl/key.pem',
      },
   }
   

8. 파일을 저장하고 GitLab 재구성하기를 합니다.
9. Gitaly 클라이언트(예: Rails 애플리케이션)에서 sudo gitlab-rake gitlab:gitaly:check를 실행하여 Gitaly 서버에 연결할 수 있는지 확인합니다.
10. Gitaly 연결 유형을 확인하여 Gitaly 트래픽이 TLS를 통해 제공되고 있는지 확인합니다.
11. 선택 사항. 다음을 수행하여 보안을 강화합니다:
    1. /etc/gitlab/gitlab.rb에서 gitaly['configuration'][:listen_addr]의 주석을 달거나 삭제하여 비 TLS 연결을 비활성화합니다.
    2. 파일을 저장합니다.
    3. GitLab 재구성하기를 합니다.

1. Gitaly 서버용 인증서를 생성합니다.

2. Gitaly 클라이언트에서 시스템 신뢰할 수 있는 인증서에 인증서를 복사합니다:

   sudo cp cert.pem /usr/local/share/ca-certificates/gitaly.crt
   sudo update-ca-certificates
   

3. Gitaly 클라이언트에서 /home/git/gitlab/config/gitlab.yml의 storages를 다음과 같이 편집합니다:

   gitlab:
     repositories:
       storages:
         default:
           gitaly_address: tls://gitaly1.internal:9999
           path: /some/local/path
         storage1:
           gitaly_address: tls://gitaly1.internal:9999
           path: /some/local/path
         storage2:
           gitaly_address: tls://gitaly2.internal:9999
           path: /some/local/path
   

   참고: /some/local/path는 존재하는 로컬 폴더로 설정해야 하며, 이 폴더에 데이터가 저장되지는 않습니다. 이 요구 사항은 Gitaly issue #1282가 해결되면 제거될 예정입니다.

4. 파일을 저장하고 GitLab 재시작하기를 합니다.

5. Gitaly 서버에서 /etc/default/gitlab를 생성하거나 편집하고 다음을 추가합니다:

   export SSL_CERT_DIR=/etc/gitlab/ssl
   

6. Gitaly 서버에서 /etc/gitlab/ssl 디렉터리를 생성하고 키와 인증서를 복사합니다:

   sudo mkdir -p /etc/gitlab/ssl
   sudo chmod 755 /etc/gitlab/ssl
   sudo cp key.pem cert.pem /etc/gitlab/ssl/
   sudo chmod 644 /etc/gitlab/ssl/cert.pem
   sudo chmod 600 /etc/gitlab/ssl/key.pem
   # Gitaly를 실행하는 동일한 사용자에게 소유권 설정
   sudo chown -R git /etc/gitlab/ssl
   

7. 모든 Gitaly 서버 인증서(또는 해당 인증 기관)를 시스템 신뢰할 수 있는 인증서 폴더에 복사하여 Gitaly 서버가 자신이나 다른 Gitaly 서버를 호출할 때 인증서를 신뢰하도록 합니다.

   sudo cp cert.pem /usr/local/share/ca-certificates/gitaly.crt
   sudo update-ca-certificates
   

8. /home/git/gitaly/config.toml을 편집하고 다음을 추가합니다:

   tls_listen_addr = '0.0.0.0:9999'
   
   [tls]
   certificate_path = '/etc/gitlab/ssl/cert.pem'
   key_path = '/etc/gitlab/ssl/key.pem'
   

9. 파일을 저장하고 GitLab 재시작하기를 합니다.
10. Gitaly 연결 유형을 확인하여 Gitaly 트래픽이 TLS를 통해 제공되고 있는지 확인합니다.
11. 선택 사항. 다음을 수행하여 보안을 강화합니다:
    1. /home/git/gitaly/config.toml에서 listen_addr의 주석을 달거나 삭제하여 비 TLS 연결을 비활성화합니다.
    2. 파일을 저장합니다.
    3. GitLab 재시작하기를 합니다.

/etc/gitlab/ssl 디렉터리 아래의 SSL 인증서 내용이 업데이트되었지만

/etc/gitlab/gitlab.rb에 대한 구성 변경이 없는 경우, GitLab을 다시 구성해도 Gitaly에는 영향을 미치지 않습니다.

대신, 인증서를 Gitaly 프로세스에서 로드할 수 있도록 Gitaly를 수동으로 다시 시작해야 합니다:

sudo gitlab-ctl restart gitaly

/etc/gitlab/trusted-certs에서 인증서를 변경하거나 업데이트하였지만 /etc/gitlab/gitlab.rb 파일에 변동이 없는 경우:

1. GitLab 다시 구성하기를 수행하여 신뢰할 수 있는 인증서의 심볼릭 링크가 업데이트되도록 합니다.

2. 인증서를 Gitaly 프로세스에서 로드할 수 있도록 Gitaly를 수동으로 다시 시작해야 합니다:

   sudo gitlab-ctl restart gitaly
   

/etc/gitlab/ssl 디렉터리 아래의 SSL 인증서 내용이 업데이트된 경우,

인증서를 Gitaly 프로세스에서 로드할 수 있도록 GitLab을 다시 시작해야 합니다.

/usr/local/share/ca-certificates에서 인증서를 변경하거나 업데이트한 경우:

1. 시스템의 신뢰할 수 있는 저장소를 업데이트하기 위해 sudo update-ca-certificates를 실행합니다.

2. 인증서를 Gitaly 프로세스에서 로드할 수 있도록 GitLab을 다시 시작해야 합니다.