For platform admins: audits id…

# GitLab v16.6 自建实例身份认证与权限审计指南

一、审计前准备

• 以管理员账号登录，准备只读审计脚本环境
• 在管理中心→ 监控→ 审计事件中开启审计日志留存
• 建议先在测试环境验证脚本，避免影响生产

二、身份认证审计要点

1. 用户账号检查

• 列出全部120名用户，比对HR在职名单，识别离职未禁用账号
• 检查 blocked 与 deactivated 状态账号是否仍有有效凭据
• 重点关注具有 admin 权限的用户数量，原则上应限制在少数运维人员
• 排查使用 password_authentication_enabled 的用户，建议强制MFA/2FA（管理中心→ 设置→ 通用→ 账户与限制，强制全员两步验证）

2. 认证方式核查

• 若对接LDAP/OA/SSO，检查是否已禁用本地密码登录，防止旁路认证
• 检查 Personal Access Tokens：通过 /api/v4/personal_access_tokens 列出所有令牌，关注scope过大的（api、sudo）、长期有效（expiry超过90天）和长期未使用的
• 检查OAuth应用授权列表，清理废弃的第三方应用

三、权限边界审计

1. 项目与群组权限

• 使用 /api/v4/projects?visibility=public 或 internal 排查误设为公开/内部的仓库
• 逐一核对35个项目的成员列表，比对实际项目团队，重点排查 Maintainer、Owner 角色
• 检查群组继承权限与共享项目（Share with group）是否存在跨组越权
• 排查受保护分支与受保护标签的 push/merge 允许角色是否过宽

2. 高危边界点

• Project/Group Membership 中的 Owner 角色是否有冗余人员
• CI/CD变量中是否存储明文敏感凭据且权限设置过宽
• Deploy Tokens 与 Deploy Keys 是否存在只读需求却给了读写权限

四、SSH密钥过期排查

1. 系统化扫描

• 管理中心→ 概览→ SSH密钥：查看全部密钥及添加时间
• 通过API GET /api/v4/keys?fingerprint= 批量查询密钥使用情况（last_used_at 字段）
• 将 超过90天未使用 的密钥标记为待清理，通知用户确认后删除
• 检查密钥算法：废弃 DSA/RSA-1024 等弱算法，推荐 Ed25519 或 RSA-4096
• 确认密钥到期策略：管理设置中启用密钥自动过期限制

2. 交叉比对

• 将SSH密钥指纹与离职人员账号关联，直接吊销
• 检查同一密钥是否被复制到多个账号（共享密钥属违规）

五、输出与整改

• 形成《账号-权限-密钥》三张清单表，标注风险等级
• 整改优先级：公开仓库→ 管理员冗余→ 过期令牌/密钥→ 角色过宽
• 建议每季度例行复审，开启定期访问审查（Access Expiration 功能可设置成员权限自动到期）