• 角色
• 项目成员权限
• 项目功能权限
  • 极狐GitLab CI/CD 权限
    • 作业权限
• 群组成员权限
  • 子组权限
• 最小访问权限用户
• 相关主题
• 自定义角色
  • 创建自定义角色
    • 极狐GitLab SaaS
    • 私有化部署的极狐GitLab 实例
    • 自定义角色要求
  • 将自定义角色与现有群组成员相关联
  • 移除自定义角色
    • 从群组成员中移除自定义角色
    • 从群组中移除具有自定义角色的群组成员
    • 删除自定义角色
  • 已知问题

权限和角色

将用户添加到项目或群组时，您可以为他们分配角色。 该角色决定他们在极狐GitLab 中可以执行的操作。

如果您将用户添加到项目的群组和项目本身中，取用户的最高角色。

极狐GitLab 管理员 拥有所有权限。

角色

可用的角色包括：

• 访客（此角色仅适用于私有和内部项目）
• 报告者
• 开发者
• 维护者
• 所有者
• 最小权限（仅适用于顶级群组）

分配了访客角色的用户拥有最少的权限，而所有者拥有最多的权限。

默认情况下，所有用户都可以创建顶级群组并更改其用户名。极狐GitLab 管理员可以为极狐GitLab 实例更改此设置。

项目成员权限

• 引入于 14.8 版本，个人命名空间所有者在其命名空间中的新项目中显示为所有者角色。功能标志为 personal_project_owner_with_owner_access。默认禁用。
• 一般可用于 14.9 版本。移除功能标志 personal_project_owner_with_owner_access。

用户的角色决定了他们对项目拥有的权限。所有者角色拥有所有权限，但仅适用于：

• 群组和项目所有者。在 14.8 及更早版本中，该角色是在群组的项目中是继承的。
• 管理员。

对于个人命名空间所有者：

• 在命名空间中的项目上显示为具有维护者角色，但具有与所有者角色相同的权限。
• 在 14.9 及更高版本，对于命名空间中的新项目，显示为具有所有者角色。

有关如何管理项目成员的更多信息，请参阅项目成员。

下表列出了每个角色可用的项目权限：

1. 在私有化部署实例上，访客用户只能对公开和内部项目（不能对私有项目）执行此操作。外部用户必须被明确授予访问权限（至少报告者角色），即使项目是内部的。在 JihuLab.com 上具有访客角色的用户只能对公共项目执行此操作，因为内部可见性不可用。
2. 访客用户只能查看他们自己创建或被指派的私密议题。
3. 不允许访客、报告者、开发者、维护者或所有者使用。请参阅受保护的分支。
4. 如果分支是受保护的，取决于给予开发者和维护者的访问权限。
5. 访客用户可以访问极狐GitLab 发布来下载 assets，但不能下载源代码，也不能查看提交和发布 evidence 等仓库信息。
6. 操作仅限于用户拥有（引用）的记录。
7. 当共享群组锁定启用时，项目不能与其他组共享。它不影响具有群组共享的群组。
8. 有关合并请求的合格审批者的信息，请参阅合格审批者。
9. 仅适用于对设计管理设计的评论。
10. 用户只能根据他们的个人操作查看事件。
11. 基础版及更高版本的私有化部署实例支持项目访问令牌。极狐GitLab SaaS 专业版及更高版本也支持它们（不包括试用许可证）。
12. 如果标签是受保护的，取决于开发人员和维护人员的访问权限。
13. 如果项目可见性设置为私有，维护者或所有者无法更改项目功能可见性级别。
14. 即使用户没有开发者角色，附加的设计文件也会与议题一起移动。
15. 访客用户只能在创建议题时设置元数据（例如，标签、指派人或里程碑）。他们无法更改现有议题的元数据。
16. 在接受外部成员贡献的项目中，用户可以创建、编辑和关闭自己的合并请求。
17. 作者和指派人即使没有报告者角色也可以修改标题和描述。
18. 作者和指派人即使没有报告者角色也可以关闭和重新打开议题。
19. 查看容器镜像库和拉取镜像的能力由容器镜像库的可见性权限控制。
20. 维护者不能创建、降级或删除所有者，也不能将用户提升为所有者角色。他们也无法批准所有者角色访问请求。
21. 任务的作者即使没有所有者角色也可以删除，但他们必须至少具有项目的访客角色。
22. 您必须有权查看史诗。
23. 在 15.9 及更高版本中，如果管理员（私有化部署实例上）或群组所有者（JihuLab.com 上）授予这些用户权限，则具有访客角色和旗舰版许可证的用户可以查看私有仓库内容。管理员或群组所有者可以通过 API 创建自定义角色并将该角色分配给用户。

项目功能权限

有关某些项目级功能的权限的更多详细信息如下。

极狐GitLab CI/CD 权限

极狐GitLab CI/CD 某些角色的权限可以通过以下设置进行修改：

• 公开流水线：设置为公开时，向访客项目成员提供对某些 CI/CD 功能的访问权限。
• 流水线可见性：当设置为具有访问权限的任何人时，授予非项目成员某些 CI/CD “查看”功能的访问权限。

1. 如果项目是公开的并且在 项目设置 > CI/CD 中启用了 公开流水线。
2. 如果 公开流水线 在 项目设置 > CI/CD 中已启用。
3. 如果项目是公开的。
4. 仅当作业满足以下两者：
   • 由用户触发。
   • 在 13.10 及更高版本，为不受保护的分支运行。
5. 如果用户允许合并或推送到受保护的分支。

作业权限

此表显示由特定类型的用户触发的作业的授予权限：

1. 仅当触发用户不是外部用户时。
2. 仅当触发用户是项目成员时。您还可以查看带有 if-not-present 拉取策略的私有 Docker 镜像的使用情况。

群组成员权限

任何用户都可以将自己从群组中移除，除非他们是群组的最后一个所有者。

下表列出了每个角色可用的群组权限：

1. 可以将群组设置为，允许所有者或具有维护者角色的所有者和用户创建子组。
2. 可以在以下位置更改默认项目创建角色：
   • 实例级别。
   • 群组级别。
3. 不适用于子组。
4. 仅当默认分支保护设置为“部分保护”或“不受保护”时，开发人员才能将提交推送到新项目的默认分支。
5. 此外，如果您的群组是公开的或内部的，则所有可以查看该群组的用户也可以查看群组 Wiki 页面。
6. 用户只能根据他们的个人操作查看事件。
7. 您必须有权查看史诗并编辑议题。
8. 您必须有权查看父史诗和子史诗。

子组权限

当您将成员添加到子组时，他们会从父组继承成员资格和权限级别。如果您在其父组中拥有成员资格，则此模型允许访问嵌套组。

要了解更多信息，请阅读有关子组成员资格的文档。

最小访问权限用户

• 引入于 13.4 版本。
• 支持邀请具有最小访问权限的用户于 15.9 版本。

具有最小访问权限角色的用户不能：

• 被计为私有化部署实例的旗舰版订阅或任何 SaaS 订阅的许可席位。
• 自动访问该根群组中的项目和子组。

所有者必须明确地将这些用户添加到特定的子组和项目中。

您可以使用最小访问权限角色为同一个成员赋予群组中的多个角色：

1. 将成员添加到根群组，赋予最小访问权限角色。
2. 邀请该成员作为在该群组的任何子组或项目中具有特定角色的直接成员。

由于已知问题，当具有最小访问权限角色的用户：

• 使用标准 Web 身份验证登录，他们在访问父组时收到 404 错误。
• 使用群组 SSO 登录，他们立即收到 404 错误，他们被重定向到父组页面。

要解决此问题，请为这些用户授予父组内任何项目或子组的访客角色或更高级别。

相关主题

• 成员
• 在受保护分支上自定义权限
• LDAP 用户权限
• 价值流分析权限
• 项目别名
• 审查员用户
• 私密议题
• Container 库权限
• 发布权限

自定义角色

• 引入于极狐GitLab 15.7，功能标志为 customized_roles。
• 默认启用于极狐GitLab 15.9。
• 移除功能标记于极狐GitLab 15.10。
• 自定义角色查看漏洞报告的功能引入于极狐GitLab 16.1，功能标志为 custom_roles_vulnerability。
• 查看漏洞报告默认启用于极狐GitLab 16.1。
• 功能标志 custom_roles_vulnerability 移除于极狐GitLab 16.2。
• 使用 UI 创建和删除自定义角色引入于极狐GitLab 16.4。

自定义角色允许分配了所有者角色的群组成员创建特定于其组织需求的角色。

可以使用以下自定义角色：

• Guest+1 角色，允许具有访客角色的用户查看代码。
• 在 16.1及更高版本中，您可以创建自定义角色，该角色可以查看漏洞报告并更改漏洞的状态。
• 在 16.3 及更高版本中，您可以创建可以查看依赖项列表的自定义角色。
• 在 16.4 及更高版本中，您可以创建可以批准合并请求的自定义角色。

当您为具有访客角色的用户启用自定义角色时，该用户可以访问升级的权限，因此：

• 在私有化部署的极狐GitLab 上被视为计费用户。
• 在 JihuLab.com 上使用席位。

不适用于 Guest+1，这是一个仅启用 read_code 权限的访客自定义角色。具有该特定自定义角色的用户不被视为计费用户，并且不使用席位。

创建自定义角色

先决条件：

• 您必须是私有化部署实例的管理员，或者在您要在其中创建自定义角色的群组中具有所有者角色。
• 该群组必须是旗舰版级别。
• 您必须拥有：
  • 至少一个私有项目，这样您可以看到为具有访客角色的用户提供自定义角色的效果。该项目可以在群组本身或该群组的子组中。
  • 具有 API 范围的个人访问令牌。

极狐GitLab SaaS

先决条件：

• 您必须在要在其中创建自定义角色的群组中具有所有者角色。

1. 在左侧边栏中，选择 搜索或转到 并找到您的群组。
2. 选择 设置 > 角色和权限。
3. 选择 添加新角色。
4. 在 用作模板的基本角色 中，选择 访客。
5. 在 角色名称 中，输入自定义角色的标题。
6. 选择新自定义角色的 权限。
7. 选择 创建新角色。

私有化部署的极狐GitLab 实例

先决条件：

• 您必须是要在其中创建自定义角色的私有化部署实例的管理员。

1. 在左侧边栏中，选择 搜索或转到。
2. 选择 管理中心。
3. 选择 设置 > 角色和权限。
4. 从顶部下拉列表中，选择您要在其中创建自定义角色的群组。
5. 选择 添加新角色。
6. 在 用作模板的基本角色 中，选择 访客。
7. 在 角色名称 中，输入自定义角色的标题。
8. 选择新自定义角色的 权限。
9. 选择 创建新角色。

要创建自定义角色，您还可以使用 API。

自定义角色要求

对于每项能力，都定义了最低访问级别。为了能够创建启用某种能力的自定义角色，member_roles 表格记录必须具有关联的最低访问级别。对于所有能力，最低访问级别是访客。只有至少具有访客角色的用户才能被分配自定义角色。

某些角色和能力需要启用其他能力。例如，如果还启用了读取漏洞 (read_vulnerability)，则自定义角色只能启用漏洞管理 (admin_vulnerability)。

您可以在下表中查看所需的最低访问级别和能力要求。

将自定义角色与现有群组成员相关联

要将自定义角色与现有群组成员关联，具有所有者角色的群组成员应执行以下操作：

1. 邀请用户作为直接成员加入根群组或子组或者以访客身份加入根群组层次结构中的项目。此时，该访客用户无法看到群组或子组中项目的任何代码。

2. 可选。如果所有者不知道接收自定义角色的访客用户的 id，则通过发出 API 请求查找 id。

3. 使用群组和项目成员 API 端点，将群组成员与 Guest+1 角色相关联。

   # to update a project membership
   curl --request PUT --header "Content-Type: application/json" --header "Authorization: Bearer <your_access_token>" --data '{"member_role_id": '<member_role_id>', "access_level": 10}' "https://gitlab.example.com/api/v4/projects/<project_id>/members/<user_id>"
   
   # to update a group membership
   curl --request PUT --header "Content-Type: application/json" --header "Authorization: Bearer <your_access_token>" --data '{"member_role_id": '<member_role_id>', "access_level": 10}' "https://gitlab.example.com/api/v4/groups/<group_id>/members/<user_id>"
   

   其中：

   • <project_id 和 <group_id>：与接收自定义角色的成员资格相关联的 id 或项目或群组的 URL 编码的路径。
   • <member_role_id>：上一节中创建的成员角色的 id。
   • <user_id>：接收自定义角色的用户的 id。

现在，Guest+1 用户可以查看与此成员资格关联的所有项目的代码。

移除自定义角色

先决条件：

• 您必须是管理员或在要从中移除自定义角色的群组中具有所有者角色。

仅当没有群组成员拥有该角色时，您才可以从群组中移除该角色。

为此，您可以从具有该自定义角色的所有群组成员中移除该自定义角色，或者从群组中移除这些成员。

从群组成员中移除自定义角色

要从群组成员中移除自定义角色，请使用群组和项目成员 API 端点，并传递一个空的 member_role_id 值。

# to update a project membership
curl --request PUT --header "Content-Type: application/json" --header "Authorization: Bearer <your_access_token>" --data '{"member_role_id": "", "access_level": 10}' "https://gitlab.example.com/api/v4/projects/<project_id>/members/<user_id>"

# to update a group membership
curl --request PUT --header "Content-Type: application/json" --header "Authorization: Bearer <your_access_token>" --data '{"member_role_id": "", "access_level": 10}' "https://gitlab.example.com/api/v4/groups/<group_id>/members/<user_id>"

从群组中移除具有自定义角色的群组成员

1. 在左侧边栏中，选择 搜索或转到 并找到您的群组。
2. 选择 管理 > 成员。
3. 在要删除的成员行上，选择垂直省略号() 并选择 删除成员。
4. 在 删除成员 确认对话框中，不要选中任何复选框。
5. 选择 删除成员。

删除自定义角色

在您确保没有群组成员使用该自定义角色后，删除自定义角色。

1. 在左侧边栏中，选择 搜索或转到。
2. 仅限 JihuLab.com。选择 管理中心。
3. 选择 设置 > 角色和权限。
4. 选择 自定义角色。
5. 在 操作 列中，选择 删除角色 () 并确认。

要删除自定义角色，您还可以使用 API。 要使用 API，您必须知道自定义角色的 id。如果您不知道这个 id 的值，您可以发出 API 请求查找。

已知问题

• 如果具有自定义角色的用户与群组或项目共享，则他们的自定义角色不会随他们一起转移。用户在新的群组或项目中具有常规的访客角色。
• 您不能使用审核员用户作为自定义角色的模板。