如何在GitLab的LDAP设置中通过用户过滤器拒绝特定用户？

当然可以通过LDAP用户过滤器来拒绝特定用户！针对你提到的要禁止那个项目邮箱账号（DN为cn=projetname,ou=projectmail,ou=company users,dc=company,dc=local）访问GitLab的需求，咱们直接在LDAP的用户过滤规则里做排除处理就行。

具体配置步骤： #

1. 修改LDAP用户过滤器
   GitLab的LDAP配置里有个user_filter参数，用来筛选允许访问的LDAP用户。你只需要在原有过滤规则的基础上，添加一个逻辑非的条件，排除目标用户的DN。
   举个例子，如果你的默认user_filter是(objectClass=user)，修改后的过滤器应该是：

   user_filter: '(& (objectClass=user) (! (cn=projetname,ou=projectmail,ou=company users,dc=company,dc=local)) )'
   

   解释一下：

   • &：表示同时满足多个条件
   • !：表示取反，也就是排除匹配后面DN的用户
   • 如果你知道该用户的唯一uid属性（比如uid=projetname），也可以用更简洁的写法：(& (objectClass=user) (! (uid=projetname)) )，这样维护起来更方便。

2. 更新GitLab配置并生效

   • 如果你用的是Omnibus安装的GitLab，找到配置文件/etc/gitlab/gitlab.rb，定位到gitlab_rails['ldap_servers']的配置块，把上面的user_filter替换进去。
   • 保存配置后，运行以下命令让新配置生效：

     sudo gitlab-ctl reconfigure
     

额外注意事项： #

• 确保目标用户的DN（或uid）拼写完全正确，部分LDAP服务器对DN的大小写是敏感的。
• 如果需要排除多个用户，可以继续添加(! (xxx=xxx))的条件，比如：

  user_filter: '(& (objectClass=user) (! (cn=user1,dc=company,dc=local)) (! (uid=user2)) )'
  

• 配置完成后，可以测试一下：用被排除的账号尝试登录GitLab，应该会被拒绝；其他合法账号则正常登录。

内容的提问来源于stack exchange，提问作者Rajana Deepak