GitLab¶

Concepts : plateforme DevOps integree¶

GitLab est une plateforme DevOps tout-en-un qui combine l'hebergement de depots Git, la CI/CD (Continuous Integration / Continuous Delivery), le registre de conteneurs, les merge requests et la revue de code dans une seule interface.

Fonctionnalites principales utilisees¶

GitLab CE vs EE¶

GitLab existe en deux editions :

Serveur GitLab¶

graph TB
    subgraph GITLAB["GitLab — 10.15.100.71"]
        NGINX["Nginx<br/>(reverse proxy TLS)"]
        RAILS["GitLab Rails<br/>(application)"]
        GITALY["Gitaly<br/>(stockage Git)"]
        REG["Container Registry"]
        RUNNER["GitLab Runner"]

        NGINX --> RAILS
        RAILS --> GITALY
        RAILS --> REG
        RUNNER --> RAILS
    end

    DEV["Developpeurs / Admins"] -->|"HTTPS :443"| NGINX
    GITALY -->|"xfs"| DISK1["lv_repos<br/>300 Go"]
    REG -->|"xfs"| DISK2["lv_registry<br/>100 Go"]

    style GITLAB fill:#e67e22,color:#fff

Migration du certificat TLS¶

Le certificat TLS de GitLab a ete migre d'un certificat auto-signe vers un certificat emis par la PKI Vault interne. Cette migration a corrige les erreurs SSL rencontrees par git clone, docker login et les navigateurs.

Comparaison avant / apres¶

graph LR
    subgraph AVANT["Avant : auto-signe"]
        CERT1["CN=gitlab.infra.indio<br/>Issuer = soi-meme<br/>30 jours, pas de SAN"]
        CLIENT1["Client"] -->|"SSL Error"| CERT1
    end

    subgraph APRES["Apres : PKI Vault"]
        ROOT["Root CA<br/>Infra Indio"]
        INT["Intermediate CA<br/>Infra Indio"]
        CERT2["gitlab.infra.indio<br/>SAN + CRL + OCSP<br/>1 an"]
        ROOT --> INT
        INT --> CERT2
        CLIENT2["Client"] -->|"SSL OK"| CERT2
    end

    style AVANT fill:#e74c3c,color:#fff
    style APRES fill:#27ae60,color:#fff

Fichiers certificat sur le serveur¶

Procedure de renouvellement du certificat¶

Le certificat doit etre renouvele avant son expiration (1 an). La procedure utilise l'API Vault pour emettre un nouveau certificat depuis le role server-tls.

Etape 1 -- Emettre un nouveau certificat¶

# Appel a l'API Vault PKI Intermediate
curl -sk \
  --header "X-Vault-Token: $VAULT_TOKEN" \
  --request POST \
  --data '{
    "common_name": "gitlab.infra.indio",
    "alt_names": "gitlab.infra.indio",
    "ip_sans": "10.15.100.71",
    "ttl": "8760h"
  }' \
  https://10.15.100.74:8200/v1/pki_int/issue/server-tls

Etape 2 -- Deployer sur le serveur¶

# Copier les fichiers
scp cert.crt root@10.15.100.71:/etc/gitlab/ssl/gitlab.infra.indio.crt
scp cert.key root@10.15.100.71:/etc/gitlab/ssl/gitlab.infra.indio.key

Etape 3 -- Recharger Nginx¶

# Recharger Nginx sans redemarrer GitLab (zero downtime)
ssh root@10.15.100.71 "gitlab-ctl hup nginx"

Stockage LVM¶

GitLab utilise trois volumes logiques LVM dedies, chacun avec un filesystem XFS optimise pour les operations d'ecriture intensive (journalisation Git, builds CI) :

graph TB
    subgraph LVM["Volumes logiques LVM"]
        LV1["lv_repos<br/>300 Go xfs"]
        LV2["lv_registry<br/>100 Go xfs"]
        LV3["lv_backups<br/>100 Go xfs"]
    end

    subgraph GITLAB["Services GitLab"]
        GITALY["Gitaly<br/>(depots Git)"]
        REG["Container Registry<br/>(images Docker)"]
        BACKUP["gitlab-backup<br/>(sauvegardes)"]
    end

    GITALY --> LV1
    REG --> LV2
    BACKUP --> LV3

    style LV1 fill:#3498db,color:#fff
    style LV2 fill:#e67e22,color:#fff
    style LV3 fill:#27ae60,color:#fff

Packages depuis Nexus¶

GitLab CE est installe depuis le miroir Nexus, pas directement depuis packages.gitlab.com :

# /etc/yum.repos.d/nexus-gitlab-ce.repo
[nexus-gitlab-ce]
name=GitLab CE (Nexus)
baseurl=https://repo.infra.indio/repository/gitlab-ce/
enabled=1
gpgcheck=1
sslverify=1

Les mises a jour de GitLab passent donc par la chaine : packages.gitlab.com → Nexus (cache) → yum install gitlab-ce sur le serveur.

Integrations avec l'infrastructure¶

GitLab est au centre de l'infrastructure et s'integre avec plusieurs composants :

graph TB
    VAULT["Vault<br/>10.15.100.74"] -->|"Certificat TLS<br/>PKI Intermediate"| GL["GitLab<br/>10.15.100.71"]
    VAULT -->|"Secrets CI/CD<br/>KV secrets engine"| GL
    NEXUS["Nexus<br/>10.15.100.65"] -->|"Packages gitlab-ce<br/>Images Docker base"| GL
    GL -->|"Code source"| ANSIBLE["Playbooks Ansible"]
    GL -->|"Code source"| TF["Configurations Terraform"]
    GL -->|"Code source"| DOCS["Documentation MkDocs"]
    GL -->|"Container Registry"| DOCKER["Images Docker custom"]

    style GL fill:#e67e22,color:#fff
    style VAULT fill:#7b68ee,color:#fff
    style NEXUS fill:#27ae60,color:#fff