GitLab中非生产与生产环境配置管理方案咨询

针对你目前100+项目按仓库管理全环境配置、开发能访问UAT/Prod配置的问题，以下是GitLab内的落地策略和替代方案：

一、GitLab原生落地策略 #

1. 环境拆分独立仓库+细粒度权限锁死 #

• 直接创建3个专属配置仓库：config-dev-qa（管理Dev/QA环境）、config-uat、config-prod
• 权限严格分层设置：
  • config-dev-qa：开放给所有开发、测试团队，按需分配提交/读取权限
  • config-uat：仅授权UAT测试、运维团队，开发无任何访问权限
  • config-prod：仅对运维、安全团队开放，读取权限也仅限特定人员
• 原有项目仓库移除所有环境配置文件，改用Git子模块或者CI/CD脚本拉取对应环境的配置：
  示例CI/CD脚本：

  stages:
    - deploy
  
  deploy-dev:
    stage: deploy
    variables:
      CONFIG_REPO: "git@gitlab.example.com:config/config-dev-qa.git"
      CONFIG_PATH: "./config/dev"
    script:
      - git clone $CONFIG_REPO temp-config
      - cp -r temp-config/dev/* $CONFIG_PATH
      - # 后续部署操作
    only:
      - dev
  
  deploy-prod:
    stage: deploy
    variables:
      CONFIG_REPO: "git@gitlab.example.com:config/config-prod.git"
      CONFIG_PATH: "./config/prod"
    script:
      - git clone $CONFIG_REPO temp-config
      - cp -r temp-config/prod/* $CONFIG_PATH
      - # 后续部署操作
    only:
      - prod
    except:
      - branches
  

2. CI/CD变量+环境隔离，无需额外仓库 #

• 将所有配置转化为GitLab的受保护变量和环境专属变量，项目仓库不再存储配置文件
  • 受保护变量：仅对main、prod这类受保护分支/标签可见
  • 按环境拆分变量：Dev/QA环境变量开放给开发编辑，UAT/Prod环境变量仅允许运维、安全团队编辑，开发无查看权限
• 100+项目可通过组级变量批量配置，减少重复操作
• 示例：在项目「Settings > CI/CD > Variables」中添加DB_PASSWORD_PROD，标记为Protected和Masked，部署Prod环境时自动注入变量

3. 组级配置模板+项目继承 #

• 在GitLab组层面创建配置模板仓库，按环境分层存储配置内容
• 所有项目通过组级CI/CD配置或项目模板继承对应环境的配置
• 模板仓库仅对运维团队开放，项目仅能继承使用无法修改配置，适合100+项目的批量管控

二、替代方案（跳出GitLab的思路） #

1. 引入配置中心工具 #

• 使用Spring Cloud Config、Consul、Vault等配置中心，将所有环境配置集中存储，GitLab仅保留项目代码
• 通过配置中心的角色权限体系管控：开发仅能访问Dev/QA配置，UAT/Prod配置仅限授权人员查看修改
• 优势：配置变更无需提交代码，支持动态刷新，适合微服务架构项目

2. 加密存储配置+部署时解密 #

• 保留项目内的配置文件，但对UAT/Prod环境的配置进行加密（使用openssl或GitLab自带加密工具）
• 解密密钥存储为GitLab受保护变量，仅在部署对应环境时自动解密
• 开发人员仅能看到加密后的内容，无法获取明文配置
• 示例加密命令：

  openssl enc -aes-256-cbc -salt -in prod-config.yaml -out prod-config.yaml.enc -k $ENCRYPT_KEY
  

  CI/CD部署时解密脚本：

  deploy-prod:
    script:
      - openssl enc -d -aes-256-cbc -in prod-config.yaml.enc -out prod-config.yaml -k $DECRYPT_KEY
      - # 后续部署步骤
    only:
      - prod
  

内容的提问来源于stack exchange，提问作者Pankaj Bhalla