通过GitLab连接和GitLab OAuth设置全局存储库访问权限

75次阅读

问题描述

在一个已经运行GitLab CE的公司网络中，尝试配置一个安全的Jenkins服务器。他已经通过GitLab认证插件和Jenkins中的受信任应用程序配置了访问控制和授权系统，应用程序拥有管理员权限以及API和read_repo范围。认证已经成功，用户能够使用他们在GitLab上的用户名自动登录到Jenkins。

然而，他在设置GitLab连接方面遇到了一些问题。他希望所有人都能够从GitLab拉取代码，并将构建状态报告回GitLab，而无需定义个人凭据或API令牌。换句话说，他想避免使用用户或管理员凭据、个人API令牌或部署密钥/令牌。

他理解，在GitLab中，由于他的管理员应用程序具有API和read_repository范围，他应该可以使用他拥有的客户端ID和秘钥来实现这一点，但是他找不到使其工作的方法。

他的问题如下：
1. 在GitLab中，除了API和read_repository范围外，我是否需要其他额外的权限？
2. 在Jenkins中，”Configure System”下的”GitLab connections”选项要求我提供一个API令牌。如果我不想使用管理员个人API令牌，我应该在那里配置什么？我理解GitLab应用程序应该能够为每个已登录用户生成（动态生成？）一个API令牌，或者通过此认证过程以某种方式模拟该用户。

解决方案

方案1：配置GitLab应用程序

首先，确保你的GitLab应用程序已正确配置并具有所需的权限。你的应用程序需要以下权限：API和read_repository。在GitLab中，按照以下步骤配置你的应用程序：

登录到你的GitLab管理员帐户。
转到”Settings”（设置） > “Applications”（应用程序）。
创建一个新的应用程序，确保为其分配API和read_repository权限。

方案2：配置Jenkins中的GitLab连接

在Jenkins中，你需要将GitLab连接配置为允许拉取代码并报告构建状态。由于你不想使用管理员个人API令牌，你可以尝试以下方法来动态生成API令牌：

在Jenkins中，导航到”Manage Jenkins”（管理Jenkins） > “Configure System”（配置系统）。
在”GitLab connections”（GitLab连接）部分，为每个用户或项目配置一个连接，但是不要填写API令牌。
创建一个Jenkins脚本或插件，当用户登录到Jenkins时，动态生成并分配API令牌。你可以使用Jenkins的脚本功能来实现这一点。以下是一个示例bash脚本，可作为参考：

#!/bin/bash
# 获取用户的GitLab用户名
gitlab_username=$(curl -s -H "Authorization: Bearer YOUR_ADMIN_API_TOKEN" "https://gitlab.example.com/api/v4/user" | jq -r '.username')

# 为用户生成API令牌
api_token=$(curl -X POST -H "Authorization: Bearer YOUR_ADMIN_API_TOKEN" "https://gitlab.example.com/api/v4/users/${gitlab_username}/impersonation_tokens" | jq -r '.token')

# 在Jenkins中配置GitLab连接，使用动态生成的API令牌
java -jar jenkins-cli.jar -s http://jenkins.example.com/ groovy = <<EOF
import jenkins.model.*
import io.jenkins.blueocean.blueocean_git_pipeline.GitLabConnectionConfig
def inst = Jenkins.getInstance()
def descriptor = inst.getDescriptor(GitLabConnectionConfig.class)
def conn = descriptor.getNewInstance()
conn.setServerUrl("https://gitlab.example.com")
conn.setCredentialsId("YOUR_GENERATED_API_TOKEN")
descriptor.connections.add(conn)
descriptor.save()
EOF

请注意，上述脚本是一个示例，你需要将其中的URL、令牌等替换为你自己的值，并根据你的需求进行修改。这个脚本假设你已经安装了Jenkins CLI，并且具有适当的权限来进行操作。

方案3：使用CI/CD Pipeline

另一种方法是在你的项目的CI/CD流水线中使用GitLab的API令牌来拉取代码并报告构建状态。你可以在流水线中使用GitLab的API来进行这些操作。以下是一个简化的示例：

stages:
  - build
  - test

build_job:
  stage: build
  script:
    - echo "Building the project"
    # Add build commands here

test_job:
  stage: test
  script:
    - echo "Testing the project"
    # Add test commands here
  after_script:
    - echo "Reporting build status to GitLab"
    - curl --request POST --header "PRIVATE-TOKEN: YOUR_GITLAB_API_TOKEN" "https://gitlab.example.com/api/v4/projects/YOUR_PROJECT_ID/statuses/$CI_COMMIT_SHA?state=success"

在上述示例中，你可以在流水线的”after_script”部分使用GitLab API令牌来报告构建状态。请确保将YOUR_GITLAB_API_TOKEN和YOUR_PROJECT_ID替换为正确的值。