GitLab CE Reporter角色部署权限配置及环境自动更新问题

GitLab CE默认权限体系下，Reporter角色不具备手动执行CI Job、操作部署环境的权限，不需要直接把测试人员提升为Developer（会开放代码推送、修改项目配置等多余权限），按你使用的GitLab版本选对应方案即可：

• 若使用14.8及以上版本CE（支持自定义项目角色）：进入项目「设置」-「成员」-「角色」，新建一个继承Reporter权限的自定义角色，单独勾选运行流水线、操作部署环境两个权限，再把所有测试人员的项目角色替换为这个自定义角色即可，权限边界刚好满足触发部署的需求，无多余权限。
• 若使用低于14.8的旧版本CE：进入项目「设置」-「CI/CD」-「环境」，新增环境匹配规则为*（覆盖所有分支名创建的动态评审环境），在「允许部署的用户/角色」列表中单独添加所有测试人员账号。Reporter账号只要在对应环境的部署白名单内，就可以触发该环境的部署、停止Job，不需要提升项目全局角色。

配置完成后，测试人员打开对应分支的流水线页面，就可以正常点击手动触发按钮运行部署Job，不会再出现权限不足报错。

你当前配置中ansible/deploy设置了when: manual，所以不管环境有没有运行，每次推送都需要手动点触发。要实现「环境未创建时需手动首次部署，环境运行中推送代码自动更新部署，环境停止后回到手动触发状态」的逻辑，只需要修改CI配置，增加环境状态检测步骤，调整部署Job的触发规则即可。
核心逻辑是在流水线部署阶段前增加一个轻量检测Job，调用GitLab内置CI接口查询当前分支对应环境的运行状态，把结果作为流水线变量传递给后续部署Job；再修改部署Job的触发规则，检测到环境处于运行中状态时自动执行部署，否则保留手动触发入口。

修改后的完整CI配置片段：

stages:
  # 保留原有其他阶段定义，在部署阶段前新增check阶段
  - check
  - test # 原有codeception测试等阶段
  - dev/review
  # 保留原有其他阶段

check:env_status:
  stage: check
  image: curlimages/curl:latest
  script:
    # 安装jq工具用于解析接口返回
    - apk add --no-cache jq >/dev/null 2>&1
    # 用CI内置Job Token查询当前分支对应环境的状态
    - |
      ENV_STATUS=$(curl --silent --header "JOB-TOKEN: $CI_JOB_TOKEN" \
        "${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/environments?name=${CI_COMMIT_REF_NAME}" \
        | jq -r '.[0].state // "absent"')
      echo "CURRENT_ENV_STATUS=$ENV_STATUS" >> deploy.env
    # 环境状态为available即代表正在运行，标记需要自动部署
    - |
      if [ "$CURRENT_ENV_STATUS" = "available" ]; then
        echo "NEED_AUTO_DEPLOY=true" >> deploy.env
      else
        echo "NEED_AUTO_DEPLOY=false" >> deploy.env
      fi
  artifacts:
    reports:
      dotenv: deploy.env

ansible/deploy:
  # 保留原有部署脚本、变量等配置
  stage: dev/review
  environment:
    name: $CI_COMMIT_REF_NAME
    url: https://${CI_COMMIT_REF_SLUG}.domain.io
    action: start
    on_stop: ansible/delete
  # 替换原有when: manual配置，按检测结果决定触发方式
  rules:
    - if: $NEED_AUTO_DEPLOY == "true"
      when: on_success
    - when: manual
      allow_failure: true
  needs:
    - job: check:env_status
      artifacts: true

# 原有环境销毁Job无需修改，保持手动触发即可
ansible/delete:
  stage: dev/review
  variables: 
    GIT_STRATEGY: none
  environment:
    name: $CI_COMMIT_REF_NAME
    url: https://${CI_COMMIT_REF_SLUG}.domain.io
    action: stop
  when: manual
  needs:
    - job: ansible/deploy
  script:
    - ssh ${STENDS_SERVER} sudo ansible-playbook /etc/ansible/playbooks/delete.yaml --extra-vars="project_name=${CI_COMMIT_REF_SLUG}"

配置说明：

• 检测Job用GitLab内置的CI_JOB_TOKEN做接口鉴权，不需要额外生成个人访问令牌，默认权限就支持查询环境状态，不需要额外调整权限配置。
• 首次推送到新分支时，对应动态环境还没创建，检测结果为absent，部署Job保持手动触发，符合评审环境按需创建的需求。
• 手动触发首次部署后，环境状态变为available（运行中），后续该分支再有代码推送，检测Job识别到运行状态后，部署Job会自动执行完成环境更新，不需要人工点击。
• 手动执行ansible/delete销毁环境后，环境状态会变为stopped，后续再推送代码时会回到需要手动触发部署的状态，不会出现误部署。

内容的提问来源于stack exchange，提问作者Илья Бугримов