Gitolite ver.3 (g3) 安裝筆記

Gitolite 是一個持續開發中的 git server 專案，自 2009 年開始後，至今已經發展到第 3 版，作者將其稱之為 g3 (之前的版本分別為 g1 與 g2)。由於 g3 相對於之前的版本，是整個重寫的專案，根據紀錄，g3 是大約今年 4 月才開始的，所以很多文件早已過時，只好慢慢研究作者提供的文件。整個專案都放在 github 上，並且作者也提供了相關文件，本文就是參考該文件寫成。
我的操作環境是：

• Ubuntu 12.04
• Git version 1.7.9.5
• Perl 5.14

本文章假設使用者已經具備 git 的基本知識與操作技能，以及基本的 ssh 認知，不再贅述。

準備步驟

• 伺服器上須先預備好以下套件
  
  • Git 1.6.6 以上
  • Perl 5.8.8 以上
  • OpenSSH
• 產生管理者的 ssh key (此 key 將專門提供給 gitolite 管理者使用)
  

  $ ssh-keygen -t rsa -f <key_filename>
  

  舉例：
  

  $ ssh-keygen -t rsa -f ~/admin
  

  會產生 ~/admin 跟 ~/admin.pub 兩個檔案，分別是 private key 與 public key。
  此時會提示輸入 passphrase。passphrase 是用來加密 private key 的密碼，避免 private key 被竊時造成的安全性風險。每次 push/pull 的時候需要輸入 passphrase，可以配合 ssh-add (Linux) 或 Pageant (Windows) 來避免每次都要打 passphrase。
  這邊注意所使用的 <key_filename> 就是 gitolite 管理者 (非主機管理者也非 git 帳號管理者) 所使用的虛擬帳號。
• 建立 git 專用帳號 (我使用 git 而非有些人慣用的 gitolite)
  

  # adduser --system git --shell "/bin/bash"
  

  必須給予 git 帳號一個可以執行 command 的 shell，但可放心所有 gitolite user 都只是虛擬帳號，他們會被導向到 gitolite-shell 這個 gitolite 提供的指令去，無法真的登入。
  以下未特別註明的，皆會使用 git 帳號作為 $ 的擁有者。

安裝步驟 (未註明 # 的皆使用 git 帳號)

1. 取得 gitolite 套件
   

   $ git clone git://github.com/sitaramc/gitolite.git
   

2. 安裝 gitolite 於家目錄下 (其實只是做個 soft link 過去)
   

   $ mkdir -p ~/bin
   $ gitolite/install -ln
   

   記得把 $HOME/bin 加入 $PATH 中。
   或是也可以用複製的方式安裝到其他系統目錄下 (以 /usr/share/gitolite 為例)
   

   # mkdir -p /usr/share/gitolite
   # gitolite/install -to /usr/share/gitolite
   

3. 設置 gitolite
   

   $ gitolite setup -pk admin.pub # 這裡的 admin.pub 就是之前產生的管理者公鑰
   

   這表示 admin.pub 這把公鑰所對應的私鑰擁有者就是 gitolite 的管理者，同時管理者的虛擬帳號即為 admin。 另外，如果 ~/.ssh 底下的 authorized_keys 已經有相同的 public key 的話，會出現 FATAL error：「admin.pub maps to shell access, not admin.」由於 gitolite 透過使用的 key 來決定使用者是不是管理者，故不可以使用本來已可連線取得 shell 的 key。

安全性

• 實際使用 gitolite 後，會發現 ~git/.ssh/authorized_keys 這個檔案被加入一些東西，像是這樣
  

  # gitolite start
  command="/usr/share/gitolite/./gl-auth-command admin",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa <很長一串 public key> <description>
  command="/usr/share/gitolite/./gl-auth-command someone",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa <很長一串 public key> <description>
  # gitolite end
  

  前面加上的那個稱為 ssh forced command，可以限制 user 登入後執行的 command。也就是說，gitolite 在使用時，並沒有啟動 daemon，而是透過 ssh 連線，並轉介到 gl-auth-command 進行動作的。
• gitolite 在運作時，使用的都是 git 這個帳號 (以我的例子而言)，如果對安全性有很高的要求，可以盡量限縮這個帳號的權限。不過還是得給他一個 shell 使用就是了，我試過將 shell 改成 /bin/false 或 /usr/sbin/nologin，結果操作就失敗了orz
• 預設狀況下，透過 gl-setup 產生的 repository 與其他相關檔案，權限都是 700。也就是說，即使主機上有其他的使用者，如果他沒有管理者權限 (或是 sudo 權限) 的話，也無法存取到那些受 gitolite 管轄的 repository。
• 管理者在進行設定時，最好確認使用者提供的 key 是否正確，可透過
  

  $ ssh-keygen -lf <pubkey_file>
  

  來獲得 public key 的 fingerprint，並以其他管道與使用者對照確認，避免惡意攻擊。

總結

整體弄起來，覺得 g3 在管理設定上，還有使用上都跟 g2 沒有什麼差別，只是安裝上不一樣就是了。不過由於是 perl 程式，其實安裝上還滿容易的，一開始不了解架構的話容易撞牆而已。