GitLab存储库存于CIFS挂载时创建新项目失败及权限等问题

我之前帮团队落地过完全相同的部署场景——内部GitLab服务器把仓库存在CIFS挂载的NAS上，同时要让外网能直接操作NAS上的仓库、不用感知GitLab的存在。确实会碰到GitLab那套严格权限校验的坑，尤其是创建新项目时直接报错，下面是我亲测有效的解决思路：

1. 调整CIFS挂载参数，适配GitLab权限要求 #

CIFS本身对Unix风格的权限（比如带setgid的2770）支持有限，这是核心矛盾。我们需要在挂载时明确指定权限参数，让挂载后的目录/文件权限匹配GitLab的要求：

• 编辑/etc/fstab，修改你的CIFS挂载条目：

  //你的NAS地址/gitlab-repos /var/opt/gitlab/git-data/repositories cifs uid=git,gid=git,file_mode=0770,dir_mode=2770,vers=3.0,credentials=/etc/cifs-credentials 0 0
  

  这里的关键参数说明：

  • uid=git,gid=git：指定挂载后的文件所有者为GitLab默认运行用户（git），避免权限归属混乱
  • file_mode=0770,dir_mode=2770：强制文件和目录使用GitLab要求的权限，包括目录的setgid位
  • vers=3.0：使用更高版本的CIFS协议，对Unix权限的兼容性更好
  • credentials：存储NAS账号密码的文件，记得把这个文件权限设为chmod 600 /etc/cifs-credentials，防止泄露

• 执行mount -a重新挂载卷，使参数生效。

2. 修改GitLab配置，禁用不必要的权限检查 #

GitLab会自动扫描仓库目录权限并尝试修复，但CIFS不支持部分权限位，修复操作会失败导致创建项目报错。我们可以调整配置跳过这些检查：

• 编辑/etc/gitlab/gitlab.rb，添加或修改以下配置：

  # 关闭GitLab对仓库目录的权限自动审计与修复
  gitlab_rails['gitlab_shell_audit_directory_permissions'] = false
  # 设置GitLab Shell的umask，确保新建文件/目录的权限符合要求
  gitlab_shell['umask'] = 0007
  

• 执行gitlab-ctl reconfigure让配置生效。

3. 配置NAS端的CIFS权限支持 #

不同厂商的NAS需要开启对应选项，让CIFS共享目录支持Unix风格权限：

• 比如群晖NAS：在共享文件夹的「高级设置」里开启「启用UNIX权限」
• 威联通NAS：在共享文件夹的「权限设置」中勾选「支持NFS权限」（CIFS会同步使用这些权限）
• 确保NAS上的共享目录权限允许git用户（对应你挂载时指定的uid/gid）读写操作

4. 测试验证 #

完成上述配置后，尝试创建一个新的GitLab项目，然后检查NAS上对应的仓库目录权限：

ls -ld /var/opt/gitlab/git-data/repositories/你的新项目名.git

如果目录权限显示为drwxrws---（对应2770），说明配置生效了。如果还是没有setgid位，可能需要升级NAS的CIFS服务版本，或者尝试使用vers=3.1.1的协议挂载。

另外补充一点：因为你需要外网直接访问NAS执行Git操作，要确保NAS上的Git服务配置的权限和GitLab的权限一致，避免两边操作时出现权限冲突。

内容的提问来源于stack exchange，提问作者schwarz