Быстрый старт

Сначала инстанс запускается по HTTP, затем на нём включается TLS. Перед началом убедитесь, что сервер отвечает требованиям.

В командах и файлах конфигурации замените <HOSTNAME> на FQDN инстанса, а <VERSION> — на версию полученного пакета, например 1.0.0-0.

Подготовка

Имя инстанса <HOSTNAME> используется в адресе веб-интерфейса, в адресах репозиториев для Git, в параметре external_url и в полях CN и SAN сертификата — везде одно и то же имя.

1. Проверьте, что имя разрешается в IP-адрес машины:

   getent hosts <HOSTNAME>

2. Если DNS-записи A или AAAA нет, добавьте имя в файл /etc/hosts на сервере:

   echo "<IP_ADDRESS> <HOSTNAME>" | sudo tee -a /etc/hosts

   <IP_ADDRESS> — IP-адрес машины инстанса. Ту же строку добавьте на каждой машине, с которой будут открывать веб-интерфейс и работать с Git, включая вашу рабочую станцию.

Установка пакета

Установка сама запускает первичную настройку (gitlab-ctl reconfigure), она занимает несколько минут. Адрес инстанса берётся из переменной EXTERNAL_URL при первой установке; TLS включается на следующем шаге.

sudo dnf install -y libxcrypt-compat policycoreutils-python-utils

sudo EXTERNAL_URL="http://<HOSTNAME>" \
  rpm -i ./deckhouse-code-<VERSION>.el8.x86_64.rpm

sudo EXTERNAL_URL="http://<HOSTNAME>" \
  apt install -y ./deckhouse-code_<VERSION>_amd64.deb

Что получилось

На http://<HOSTNAME> работает инстанс: веб-интерфейс, Git поверх HTTP, база данных и фоновые задачи. Проверьте состояние — команды выполняются на самой машине инстанса:

# Все сервисы в состоянии run.
sudo gitlab-ctl status
# Ожидается код 200.
curl -s -o /dev/null -w "%{http_code}\n" http://localhost/-/health
# Первый пароль администратора.
sudo cat /etc/gitlab/initial_root_password

Откройте http://<HOSTNAME> в браузере и войдите под пользователем root с паролем из файла /etc/gitlab/initial_root_password.

TLS

По HTTP пароли и содержимое репозиториев передаются в открытом виде, поэтому сразу после первого входа включите TLS.

Подготовьте каталог для сертификатов:

sudo mkdir -p /etc/gitlab/ssl && sudo chmod 755 /etc/gitlab/ssl

Разместите в нём сертификат и ключ под именами <HOSTNAME>.crt и <HOSTNAME>.key.

sudo install -m 600 <KEY_FILE> /etc/gitlab/ssl/<HOSTNAME>.key
# Сертификат вместе с цепочкой.
sudo install -m 644 <CERT_FILE> /etc/gitlab/ssl/<HOSTNAME>.crt

sudo openssl req -x509 -nodes -newkey rsa:2048 -days 825 \
  -keyout /etc/gitlab/ssl/<HOSTNAME>.key \
  -out /etc/gitlab/ssl/<HOSTNAME>.crt \
  -subj "/CN=<HOSTNAME>/O=Deckhouse Code/C=RU" \
  -addext "subjectAltName=DNS:<HOSTNAME>"
sudo chmod 600 /etc/gitlab/ssl/<HOSTNAME>.key

Включите HTTPS в файле /etc/gitlab/gitlab.rb:

external_url 'https://<HOSTNAME>'
letsencrypt['enable'] = false
nginx['redirect_http_to_https'] = true
nginx['ssl_certificate'] = "/etc/gitlab/ssl/<HOSTNAME>.crt"
nginx['ssl_certificate_key'] = "/etc/gitlab/ssl/<HOSTNAME>.key"

Без строки letsencrypt['enable'] = false настройка с адресом https:// запускает получение сертификата через Let’s Encrypt по HTTP-01 и в закрытом контуре завершается ошибкой.

Примените конфигурацию:

sudo gitlab-ctl reconfigure

Проверка

Проверьте состояние сервисов, ответ по HTTPS и перенаправление с HTTP:

# Все сервисы в состоянии run.
sudo gitlab-ctl status
# Параметр --resolve направляет запрос на loopback: адрес /-/health отвечает
# только с самой машины, проверка имени в сертификате при этом сохраняется.
# Ожидается health=200 tls=0.
curl --cacert /etc/gitlab/ssl/<HOSTNAME>.crt \
     --resolve '<HOSTNAME>:443:127.0.0.1' \
     -o /dev/null -w "health=%{http_code} tls=%{ssl_verify_result}\n" \
     https://<HOSTNAME>/-/health
# Перенаправление с HTTP на HTTPS, ожидается https://<HOSTNAME>/.
curl -sI http://<HOSTNAME>/ | grep -i location

Самоподписанный сертификат браузер и Git не примут, пока центр сертификации не добавлен в доверенные. Для Git укажите путь к файлу сертификата на машине клиента:

git config --global http.https://<HOSTNAME>.sslCAInfo <CERT_FILE>

Смените пароль пользователя root в веб-интерфейсе и удалите файл первоначального пароля:

sudo rm -f /etc/gitlab/initial_root_password

Дополнительные ресурсы

• Настройка после установки
• Диагностика