使用极狐GitLab Pages chart

gitlab-pages 子 chart 提供了一个守护进程，用于从极狐GitLab 项目中提供静态网站服务。

要求#

此 chart 依赖于 Workhorse 服务的访问权限，可以是完整极狐GitLab chart 的一部分，也可以是从该 chart 部署到的 Kubernetes 集群可访问的外部服务。

配置#

gitlab-pages chart 按如下方式配置：全局设置 和 chart 设置。

全局设置#

我们在 chart 之间共享一些通用的全局设置。详情请参见 Globals 文档。

chart 设置#

以下两节中的表格包含了所有可以通过 --set 标志提供给 helm install 命令的 chart 配置。

常规设置#

Pages 特定设置#

配置 ingress#

此部分控制极狐GitLab Pages Ingress。

chart 配置示例#

extraVolumes#

extraVolumes 允许配置 chart 范围内的额外卷。

以下是 extraVolumes 的示例用法：

yaml
extraVolumes: |
  - name: example-volume
    persistentVolumeClaim:
      claimName: example-pvc

extraVolumeMounts#

extraVolumeMounts 允许在 chart 范围内的所有容器上配置额外的卷挂载。

以下是 extraVolumeMounts 的示例用法：

yaml
extraVolumeMounts: |
  - name: example-volume
    mountPath: /etc/example

配置 networkpolicy#

此部分控制 NetworkPolicy。 此配置是可选的，用于限制 Pods 的出入流量到特定端点。

网络策略示例#

gitlab-pages 服务需要端口 80 和 443 的 Ingress 连接以及到默认 workhorse 端口 8181 的 egress 连接。此示例添加以下网络策略：

• 允许 Ingress 请求：
  • 从 nginx-ingress pod 到端口 8090
  • 从 prometheus pod 到端口 9235
• 允许 egress 请求：
  • 到 kube-dns 的端口 53
  • 到 webservice pod 的端口 8181
  • 到端点如 AWS VPC 端点 S3 172.16.1.0/24 的端口 443

请注意，提供的示例仅为示例，可能不完整

该示例基于以下假设：kube-dns 被部署到命名空间 kube-system，prometheus 被部署到命名空间 monitoring，nginx-ingress 被部署到命名空间 nginx-ingress。

yaml
1networkpolicy:
2  enabled: true
3  ingress:
4    enabled: true
5    rules:
6      - from:
7          - namespaceSelector:
8              matchLabels:
9                kubernetes.io/metadata.name: monitoring
10            podSelector:
11              matchLabels:
12                app: prometheus
13                component: server
14                release: gitlab
15        ports:
16          - port: 9235
17      - from:
18          - namespaceSelector:
19              matchLabels:
20                kubernetes.io/metadata.name: nginx-ingress
21            podSelector:
22              matchLabels:
23                app: nginx-ingress
24                component: controller
25        ports:
26          - port: 8090
27  egress:
28    enabled: true
29    rules:
30      - to:
31          - namespaceSelector:
32              matchLabels:
33                kubernetes.io/metadata.name: kube-system
34            podSelector:
35              matchLabels:
36                k8s-app: kube-dns
37        ports:
38          - port: 53
39            protocol: UDP
40      - to:
41          - ipBlock:
42              cidr: 172.16.1.0/24
43        ports:
44          - port: 443
45      - to:
46          - podSelector:
47              matchLabels:
48                app: webservice
49        ports:
50          - port: 8181

极狐GitLab Pages 的 TLS 访问#

要访问极狐GitLab Pages 功能的 TLS，您必须：

1. 为您的极狐GitLab Pages 域创建一个专用的通配符证书，格式为： *.pages.<yourdomain>。

2. 在 Kubernetes 中创建密钥：

   shell
   kubectl create secret tls tls-star-pages-<mysecret> --cert=<path/to/fullchain.pem> --key=<path/to/privkey.pem>

3. 配置极狐GitLab Pages 使用此密钥：

   yaml
   gitlab:
     gitlab-pages:
       ingress:
         tls:
           secretName: tls-star-pages-<mysecret>

4. 在您的 DNS 提供商中创建一个 DNS 条目，名称为 *.pages.<yourdomaindomain> 指向您的 LoadBalancer。

没有通配符 DNS 的 Pages 域#

1. 在全局 Pages 设置中启用 namespaceInPath。

   yaml
   global:
     pages:
       namespaceInPath: true

2. 在您的 DNS 提供商中创建一个 DNS 条目，名称为 pages.<yourdomaindomain> 指向您的 LoadBalancer。

没有通配符 DNS 的极狐GitLab Pages 域的 TLS 访问#

1. 为您的极狐GitLab Pages 域创建一个证书，格式为：pages.<yourdomain>。

2. 在 Kubernetes 中创建密钥：

   shell
   kubectl create secret tls tls-star-pages-<mysecret> --cert=<path/to/fullchain.pem> --key=<path/to/privkey.pem>

3. 配置极狐GitLab Pages 使用此密钥：

   yaml
   gitlab:
     gitlab-pages:
       ingress:
         tls:
           secretName: tls-star-pages-<mysecret>

配置访问控制#

1. 在全局 pages 设置中启用 accessControl。

   yaml
   global:
     pages:
       accessControl: true

2. 可选。如果配置了 TLS 访问，请更新极狐GitLab Pages 系统 OAuth 应用程序 中的重定向 URI 以使用 HTTPS 协议。

速率限制#

您可以强制实施速率限制以帮助降低拒绝服务 (DoS) 攻击的风险。详细的 速率限制文档 可用。

要允许某些 IP 范围（子网）绕过所有速率限制：

• rateLimitSubnetsAllowList：设置要绕过所有速率限制的 IP 范围（子网）的允许列表。

配置速率限制子网允许列表#

在 charts/gitlab/charts/gitlab-pages/values.yaml 中设置 IP 范围（子网）的允许列表：

yaml
gitlab:
  gitlab-pages:
    rateLimitSubnetsAllowList:
     - "1.2.3.4/24"
     - "2001:db8::1/32"

配置 KEDA#

此 keda 部分启用了 KEDA ScaledObjects 的安装，而不是常规的 HorizontalPodAutoscalers。 此配置是可选的，并可用于基于自定义或外部指标的自动缩放。

大多数设置默认为 hpa 部分中设置的值（如适用）。

如果以下条件为真，则根据 hpa 部分中设置的 CPU 和内存阈值自动添加 CPU 和内存触发器：

• 未设置 triggers。
• 相应的 request.cpu.request 或 request.memory.request 设置也设置为非零值。

如果未设置触发器，则不会创建 ScaledObject。

serviceAccount#

此部分控制是否应创建 ServiceAccount 以及默认访问令牌是否应挂载在 pod 中。

亲和性#

有关更多信息，请参见 affinity。