03. GitLab 角色搞不清？Member/Maintainer/Owner 权限全解
「GitLab」系列已发布： 00. GitLab 不只是代码托管：一套 DevOps 平台的 6 大核心能力 ｜ 01. GitLab 怎么装最省心？Omnibus/Docker/K8s 三种姿势 ｜ 02. 装完 GitLab 先配啥？管理员视角的初始化设置清单 ｜ 03. GitLab 角色搞不清？Member/Maintainer/Owner 权限全解（本文）
Guest、Reporter、Developer、Maintainer、Owner 五级权限各管什么？项目级与群组级权限如何叠加？这篇把 GitLab 权限模型讲透。
前置条件
已按第 01-02 篇完成 GitLab 安装与初始配置，并了解群组、项目和角色的基本概念。
一、GitLab 的权限层级
GitLab 的权限模型分四个层级，从上到下逐级嵌套：
flowchart TD Instance[实例层 Instance Level] Group[群组层 Group Level] Subgroup[子群组层 Subgroup Level] Project[项目层 Project Level] Instance --> Group Group --> Subgroup Subgroup --> Project
1.1 用户角色与权限
1.1.1 内置角色
GitLab 内置五类角色：Guest、Reporter、Developer、Maintainer、Owner。这些角色可以在群组和项目两个层级上分别授权。
1.1.2 管理员账号
进入 Rails 控制台可以查看和管理用户与角色：
sudo gitlab-rails console
1.1.3 外部用户（External Users）
标记为外部用户后，只能访问被明确授权的项目和群组，无法查看内部或公开项目。
1.1.4 Personal Access Token
用户在 Settings → Access Tokens 创建个人令牌，用于 API 调用或替代密码做 Git 操作。管理员可以查看和管理这些令牌。
1.2 群组权限详解
1.2.1 角色矩阵
| 权限 | Guest | Reporter | Developer | Maintainer | Owner |
|---|---|---|---|---|---|
| 看群组信息 | 是 | 是 | 是 | 是 | 是 |
| 看项目列表 | 是 | 是 | 是 | 是 | 是 |
| 创建 Issue | 是 | 是 | 是 | 是 | 是 |
| 看 MR | 是 | 是 | 是 | 是 | 是 |
| 拉代码 | — | 是 | 是 | 是 | 是 |
| 看 CI/CD | — | 是 | 是 | 是 | 是 |
| 推代码 | — | — | 是 | 是 | 是 |
| 管理 MR | — | — | 是 | 是 | 是 |
| 创建子群组/项目 | — | — | — | 是 | 是 |
| 管理成员 | — | — | — | 是 | 是 |
| 删群组 | — | — | — | — | 是 |
| 管理群组设置 | — | — | — | — | 是 |
1.2.2 共享群组（Share Group）
把群组访问权限授给另一个群组的所有成员：群组 → Settings → Members → Invite a group。目标群组全体成员自动获得当前群组的相应权限。
1.2.3 群组成员锁定
群组设置开启 “Member lock” 后，子群组和项目无法额外直接加成员，必须通过父群组统一管理——权限集中化，避免项目级随意补人造成混乱。
1.3 LDAP 群组同步（EE）
EE 版可以把 LDAP/AD 用户组与 GitLab 群组同步。
1.4 项目权限详解
1.4.1 可见性
| 级别 | 含义 | 典型场景 |
|---|---|---|
| Private | 仅项目成员可访问 | 企业内部项目 |
| Internal | 所有登录用户可访问 | 企业工具库 |
| Public | 任何人可访问 | 开源项目 |
1.4.2 受保护分支
Settings → Repository → Protected branches。典型策略：保护 main 分支，仅允许 Maintainer 合并、禁止 force push。
1.4.3 受保护标签
防止关键发布标签被意外删或覆盖：保护 v* 形式的发布标签，仅允许特定角色创建与推送。
1.4.4 CODEOWNERS
项目根目录放 CODEOWNERS 文件，指定文件/目录审核负责人：
# CODEOWNERS 示例
*.go @backend-leads
/db/migrate/ @dba-team @tech-lead
.gitlab-ci.yml @devops-team
1.5 访问控制最佳实践
1.5.1 最小权限
- 默认给 Reporter（能看代码和 Issue，不能推）。
- 需要推代码再升 Developer。
- 资深工程师和 Team Lead 才给 Maintainer。
- Owner 严格限制在 2-3 人。
1.5.2 LDAP/SSO 集成
生产环境推荐对接企业 LDAP 或 SAML SSO，统一身份认证和权限管理。
1.5.3 审计日志（EE）
EE 版完整审计日志，记录权限变更、登录尝试、项目操作：Admin Area → Monitoring → Audit Events。
1.6 定期权限审查
定期通过 Rails 控制台或 API 导出群组、项目成员清单，核对权限是否仍然合理，及时回收离职或转岗人员的权限。
二、权限模型总览
graph TB subgraph Instance["实例层"] A[实例管理员] end subgraph Group["群组层"] B[群组 Owner] C[群组 Maintainer] D[群组 Developer] E[群组 Reporter] F[群组 Guest] end subgraph Project["项目层"] G[项目 Owner] H[项目 Maintainer] I[项目 Developer] J[项目 Reporter] K[项目 Guest] end A --> B B --> G C --> G D --> H E --> I F --> J
三、文章引用
📌 本文首发于微信公众号 【运维知识点滴】——专注运维实战干货，微信搜索“运维知识点滴”或扫下方二维码关注，更新不迷路。
📎 微信原文：03. GitLab 角色搞不清？Member/Maintainer/Owner 权限全解
| 微信公众号【运维知识点滴】 | 微信小程序【A5单据合并&大试卷拆分转A4打印】 |
|---|---|
 |
 |
| 运维实战干货 · 关注追更 | Word 转 PDF · 试卷/发票打印神器 · 免费 |
💡 小程序【A5单据合并&大试卷拆分转A4打印】是干嘛的？ 一个 Word 转 PDF 的打印神器，专治“文档版式和打印机对不上”：
- A3 试卷打不出来？ 学校发的电子版试卷多是 A3，家用打印机只吃 A4——上传 Word 一键转换：可缩到一页 A4（页数不变），也可对半拆成两张 A4（1:1 原大、字更清晰），两种模式自选；
- 版式不乱：真实渲染引擎原样转换、绝不重排内容，转出的 PDF 和原 Word 排版一致，公式/表格/图片不跑版；
- 两张 A5 单据拼一张 A4：出租车票、火车票等报销凭证拼版后，一次打印、整齐粘贴；
- 隐私省心：无需注册，转换结果留存 5 天、最多下载 5 次即自动删除，不留任何历史记录；
- 微信扫码即用，免费、免安装，支持 doc / docx（≤50MB）。