LDAP同步GitLab用户免首次Web登录获取OAuth Token解决方案咨询

针对LDAP同步用户无需首次Web登录即可获取GitLab API访问令牌的需求，共有3种可行方案：

方案1：管理员通过API预创建LDAP对应GitLab用户 #

• 首先使用拥有管理员权限的个人访问令牌调用GitLab用户创建接口POST /api/v4/users，传入参数需与LDAP侧用户信息完全一致，必须包含provider（填你的LDAP provider名称，比如ldapmain）、extern_uid（LDAP侧用户的DN值）、username、email、name、password（可随机生成符合复杂度要求的字符串，用户后续用LDAP凭证认证不受该密码影响）。
• 接口调用成功后，用户的GitLab账号会直接完成初始化，无需再走Web首次登录流程，可直接用LDAP凭证调用/oauth/token接口获取访问令牌。
• 可选操作：调用创建用户接口时可附带personal_access_tokens参数，直接在创建用户时同步生成指定权限的访问令牌返回，无需用户再自行调用接口申请。

方案2：开启LDAP自动创建用户+OAuth密码授权模式 #

• 修改GitLab配置文件gitlab.rb，开启两项配置：

  gitlab_rails['ldap_auto_create_user'] = true
  gitlab_rails['oauth2_allow_password_flow_for_external_users'] = true
  

• 执行gitlab-ctl reconfigure生效配置。
• 配置完成后，新增的LDAP用户无需进行任何Web操作，直接调用/oauth/token接口，grant_type指定为password，传入LDAP账号的用户名、密码以及对应OAuth应用的client_id、client_secret，即可直接完成用户自动创建并返回访问令牌。

方案3：管理员直接代用户创建访问令牌 #

• 先通过管理员接口GET /api/v4/users?extern_uid=<LDAP用户DN>&provider=<LDAP provider名称>查询到对应用户的ID（如果用户还未创建，可先调用方案1的创建接口生成用户记录）。
• 调用管理员接口POST /api/v4/users/:user_id/personal_access_tokens，传入令牌名称、权限范围、过期时间等参数，即可直接为该用户生成有效的个人访问令牌，用户可直接使用该令牌调用GitLab REST API，无需任何登录操作。

• OAuth密码授权模式存在凭证泄露风险，仅建议在内网可信环境下使用，不要对外网暴露该授权模式的入口。
• 管理员权限的访问令牌需严格管控权限范围和存储安全，避免被滥用。

内容的提问来源于stack exchange，提问作者Jamsheer