GitLab AD／LDAP配置说明

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55

gitlab_rails['ldap_enabled'] = true
gitlab_rails['prevent_ldap_sign_in'] = false
gitlab_rails['ldap_servers'] = {
  'main' => {
    # 登录页显示名称
    'label' => 'LDAP',
    # AD/LDAP域名或IP
    'host' =>  'ldap.mydomain.com',
    # AD/LDAP端口
    'port' => 389,
    # LDAP映射到GitLab用户的唯一ID，如sAMAccountName是将LDAP的用户名作为GitLab用户的UID
    'uid' => 'sAMAccountName',
    # LDAP管理员DN
    'bind_dn' => 'xxx@xxx.com 或 CN=Gitlab,OU=Users,DC=domain,DC=com',
    # LDAP管理员密码
    'password' => 'xxxxxx',
    # LDAP TLS相关，若encryption=plain，则不使用TLS通信，也不需要配置verify_certificates和tls_options
    'encryption' => 'simple_tls',
    'verify_certificates' => true,
    'tls_options' => {
      'ca_file' => '',
      'ssl_version' => '',
      'ciphers' => '',
      'cert' => '',
      'key' => ''
    },
    'timeout' => 10,
    # AD域为true，其他LDAP为false
    'active_directory' => true,
    'allow_username_or_email_login' => false,
    # 设置为true，自动将LDAP创建的GitLab新账号设置为Block防止许可证超用，需GitLab管理员解除Block
    'block_auto_created_users' => false,
    # AD/LDAP用户的base
    'base' => 'dc=domain,dc=com',
    # LDAP过滤器，无需要可置空
    'user_filter' => '',
    # GitLab用户属性与LDAP属性的映射关系
    'attributes' => {
      'username' => ['uid', 'userid', 'sAMAccountName'],
      'email' => ['mail', 'email', 'userPrincipalName'],
      'name' => 'cn',
        'first_name' => 'givenName',
      'last_name' => 'sn'
    },
    'lowercase_usernames' => false,

    # 企业版功能
    # LDAP组同步需要设置group_base，可以base保持一致
    'group_base' => 'OU=Users,DC=domain,DC=com',
    # 作为GitLab管理员的AD/LDAP组，仅需要写CN，该CN需要在group_base覆盖下
    'admin_group' => 'gitlab',
    'external_groups' => [],
    'sync_ssh_keys' => false
  }
}