如何通过LDAP/AD认证GitLab CI作业用户以保护部署流水线？

GitLab本身没有直接内置LDAP环境级别的流水线认证机制，但确实有几种实用的实现方式，你的脚本思路是其中一种有效方向，下面展开具体方案：

方案一：自定义LDAP校验脚本（你的思路优化版） #

手动查询LDAP的思路完全可行，这里可以优化细节确保在GitLab CI环境稳定运行：

• 获取关键变量：GitLab CI提供内置变量GITLAB_USER_LOGIN拿到触发用户账号，CI_ENVIRONMENT_NAME拿到当前部署环境名，直接传入脚本即可。
• 安全存储LDAP参数：把LDAP服务器地址、绑定账号等敏感信息存在GitLab的受保护变量里，避免硬编码泄露。
• 优化后的示例脚本：

#!/usr/bin/env python3
import sys
import ldap
from os import getenv

def get_ldap_groups(user):
    ldap_server = getenv("LDAP_SERVER")
    ldap_base_dn = getenv("LDAP_BASE_DN")
    ldap_bind_dn = getenv("LDAP_BIND_DN")
    ldap_bind_pw = getenv("LDAP_BIND_PW")
    
    try:
        conn = ldap.initialize(ldap_server)
        conn.simple_bind_s(ldap_bind_dn, ldap_bind_pw)
        search_filter = f"(sAMAccountName={user})"
        attrs = ["memberOf"]
        result = conn.search_s(ldap_base_dn, ldap.SCOPE_SUBTREE, search_filter, attrs)
        if result:
            return [group.split(",")[0].split("=")[1] for group in result[0][1]["memberOf"]]
        return []
    except Exception as e:
        print(f"LDAP查询失败: {str(e)}")
        sys.exit(1)

if __name__ == "__main__":
    user = getenv("GITLAB_USER_LOGIN")
    target_group = getenv("CI_ENVIRONMENT_NAME")
    
    if not user or not target_group:
        print("缺少必要的环境变量")
        sys.exit(1)
    
    member_of = get_ldap_groups(user)
    if target_group not in member_of:
        print(f"用户 {user} 无权限部署到环境 {target_group}")
        sys.exit(1)
    print("权限校验通过")

• CI流水线配置：在.gitlab-ci.yml里把校验步骤放在部署前：

deploy_production:
  stage: deploy
  environment: production
  before_script:
    - pip install python-ldap
    - chmod +x ldap_check.py
  script:
    - ./ldap_check.py
    - # 这里填你的部署命令
  only:
    - main

方案二：GitLab LDAP同步+内置环境权限控制 #

如果你的GitLab已经配置了LDAP用户同步，可以把LDAP组同步到GitLab内部组，直接用内置功能实现：

1. 在GitLab管理员后台配置LDAP组同步，把LDAP中对应部署权限的组（比如prod-deployers）同步到GitLab
2. 进入项目的「设置」→「CI/CD」→「环境」，给目标环境设置「部署权限」，指定只有同步后的GitLab组能部署
3. 这种方式无需自定义脚本，稳定性更高，但前提是已经完成LDAP用户和组的同步配置

方案三：用GitLab CI Rules结合LDAP组同步 #

已经同步LDAP组到GitLab的话，也可以直接在.gitlab-ci.yml里用rules判断用户所属组：

deploy_production:
  stage: deploy
  environment: production
  script:
    - # 部署命令
  rules:
    - if: '$CI_COMMIT_BRANCH == "main"'
      when: always
    - if: '$GITLAB_USER_LOGIN'
      allow_failure: false
      exists:
        - group: prod-deployers
          user: $GITLAB_USER_LOGIN

注意事项 #

• 方案一要确保CI runner能访问LDAP服务器，敏感参数必须用GitLab受保护变量存储
• 方案二、三依赖GitLab的LDAP组同步功能，需要提前在后台配置好同步规则
• 所有方案都要测试不同用户的权限场景，确保校验逻辑准确

内容的提问来源于stack exchange，提问作者Badr