代码平台等保三级合规建设，极狐GitLab安全能力对照指南

等级保护三级：国家网络安全等级保护制度中面向重要信息系统的保护等级，要求企业在身份鉴别、访问控制、安全审计、数据保护等环节建立可验证的技术与管理措施。

对金融、政务、能源等行业来说，代码仓库早就不是「存文件的地方」，而是和数据库、生产环境同级的核心信息系统。等保三级测评时，代码托管平台是绕不开的一环——谁改了权限、谁能直接推主分支、操作日志留了多久，测评师都会问。问题是，很多团队的代码平台能力是「拼装」出来的：托管一个工具、审计一个工具、认证又一个工具，对照等保条款时对不上号。

这篇文章把等保三级中与代码平台直接相关的几个层面拆开，逐项对照极狐GitLab的官方能力，为测评准备提供一个可落地的参照系。先给结论：平台自身已通过国家信息系统安全等级保护三级认证（见极狐GitLab官网合规认证栏目），同时产品功能层面覆盖了测评中最常被问到的四类控制点。

一、总体对照：等保层面与平台能力映射

先看一张总表，后面逐项展开。

这个映射的依据全部来自官方文档与官网，链接在文中逐项给出，测评准备时可以直接跳转核对。

二、身份鉴别：2FA不只是建议，而是可以强制

等保在身份鉴别层面关注「是否具备两种或以上鉴别技术」。极狐GitLab的双因素认证（2FA）不是靠用户自觉，而是可以由管理员强制实施。

依据官方文档，私有化部署的管理员可以通过两种方式为所有用户强制2FA：

• 下次登录时立即强制；

• 设置宽限期，宽限期过后用户只能停留在2FA配置页面，无法绕过。

对应的API参数是require_two_factor_authentication和two_factor_grace_period。除了实例级强制，群组所有者也可以为单个群组或子群组独立启用2FA强制，且多层嵌套时最严格的要求优先适用。认证方式支持基于应用的TOTP验证码与WebAuthn，官方文档同时明确：电子邮件OTP不满足2FA要求。

可落地配置——用应用程序设置API开启全实例强制并设置48小时宽限期：

curl --request PUT \
  --header "PRIVATE-TOKEN: <管理员访问令牌>" \
  "https://gitlab.example.com/api/v4/application/settings?require_two_factor_authentication=true&two_factor_grace_period=48"

测评时，这一条对应「系统能否防止仅凭口令登录」的验证项，配置结果可以在「管理员 > 设置 > 通用 > 登录限制」中直接核验。

三、访问控制：角色模型与受保护分支的双重约束

访问控制是等保测评的重头，核心问题是：权限是否最小化、关键操作是否可约束。

1. 角色体系

极狐GitLab提供七种默认角色：访客、计划者、报告者、安全管理员、开发者、维护者、所有者，另有专业版/旗舰版提供的「最小访问权限」角色与自定义角色。完整的权限矩阵见官方角色与权限文档。

其中安全管理员角色值得单独说：它可以查看和管理安全漏洞、合规配置和审计事件，但没有代码推送权限。这就是等保里常说的职责分离——安全审计人员和开发人员在同一平台内天然隔离，不需要靠两套系统人为拼凑。

2. 受保护分支

角色管「人」，受保护分支管「分支上的关键操作」。依据受保护分支官方文档，可以控制谁能合并、谁能直接推送、是否允许强制推送、是否需要代码所有者审批。

官方针对生产分支给出的推荐配置是等保语境下的标准答案：

1. 允许合并设为仅维护者；

2. 允许推送和合并设为无人——任何人（包括维护者）都无法绕过评审直接改主分支；

3. 启用需要代码所有者审批。

进一步，针对有监管要求的组织，专业版/旗舰版还可以通过API把「取消保护分支」的权限限定到特定用户或群组，防止保护配置被随意改掉——这直接对应测评中「关键配置变更是否受控」的检查项。

四、安全审计：审计事件无限期保留，事件流做外部留存

等保三级在安全审计层面的通用要求是：审计范围覆盖每个用户、记录重要事件、日志可查阅且受到保护。

1. 审计事件

依据审计事件官方文档，极狐GitLab可以跟踪平台中的各类操作，例如：谁在何时更改了某项目中特定用户的权限级别、谁在何时添加或移除了用户。关键属性有三点：

• 无限期保留——官方文档明确「由于没有保留期限，所有审计事件都可用」，审计日志不因时间流逝而缺失；

• 多层级覆盖——登录、群组、项目、实例四个级别分别记录；

• 角色隔离——查看群组全部事件需所有者角色，项目级需维护者角色，开发者仅能查看自身操作产生的记录，另有审计员访问级别可供专职审计人员使用。

群组审计事件可通过API查询（注意created_after与created_before参数最多相差30天）：

curl --header "PRIVATE-TOKEN: <访问令牌>" \
  "https://gitlab.example.com/api/v4/groups/<群组ID>/audit_events?created_after=2026-11-01&created_before=2026-11-30"

2. 审计事件流

平台内留档之外，等保实践通常还要求审计日志异地/外部留存，避免「删库的人也能删日志」。旗舰版提供的审计事件流功能，可将审计事件实时发送到外部流数据系统做集中存储与分析。依据官方文档，实例级支持三类流式传输目标：HTTP端点、Google Cloud Logging和AWS S3，配置入口在「管理员 > 监控 > 审计事件 > 流」选项卡。

把审计事件接到企业统一的日志平台（SIEM）后，「谁在什么时候做了什么」就有了独立于代码平台之外的第二份记录，这正是测评师验证审计完整性时希望看到的形态。

五、数据保护与平台自身合规

部署形态决定数据主权。极狐GitLab私有化部署支持物理机、虚拟机与Kubernetes环境，代码与元数据100%留在企业自己的基础设施内；旗舰版还支持在离线/隔离网络环境使用安全扫描能力，这对物理隔离要求高的行业是硬需求。

平台自身层面，依据极狐GitLab官网，极狐GitLab已通过国家信息系统安全等级保护三级认证，并持有ISO/IEC 27001（信息安全管理体系）、ISO/IEC 27701（隐私信息管理体系）、ISO/IEC 9001（质量管理）认证，同时获得中国信通院DevOps先进级评估认可。选型时，平台厂商自己的等保状态会直接影响企业整体测评结论，这一项建议在采购阶段就写入评估项。

需要说明边界：平台通过等保三级不等于企业系统自动通过。企业自身的机房、网络、管理制度仍需独立测评，但选用一个已通过三级认证且能力覆盖到位的代码平台，能显著减少「代码环节」这一块的建设与举证成本。

六、测评准备自查清单

结合上述能力，给一份测评前可以逐项打勾的清单：

1. 确认全实例或核心群组已开启2FA强制，且宽限期已收敛到可接受时长；

2. 梳理七个默认角色的成员分布，安全审计类岗位使用安全管理员或审计员角色，与开发角色分离；

3. 生产与预发布分支全部配置保护：合并限维护者、直接推送设为无人、开启代码所有者审批；

4. 通过API或界面导出一段周期的审计事件，验证报告可生成、可筛选、可交付；

5. 配置审计事件流到企业SIEM或对象存储，验证外部留存链路可用；

6. 收集平台等保三级与ISO认证证明材料，纳入测评文档包；

7. 确认部署形态（私有化/离线）与数据边界承诺与测评申报一致。

常见问题

Q1：极狐GitLab的审计日志会不会过期删除？

不会。官方文档明确审计事件无限期保留，没有保留期限限制。如需平台之外的独立留存，可用旗舰版的审计事件流将事件实时发送到HTTP端点、Google Cloud Logging或AWS S3等外部系统。

Q2：等保三级测评时，代码平台的2FA应该怎么配？

建议私有化部署管理员在「设置 > 通用 > 登录限制」中开启「强制实施双因素认证」，宽限期按企业整改节奏设置（立即强制填0）。认证方式使用TOTP应用或WebAuthn硬件密钥，电子邮件OTP不满足要求。配置后可在登录流程中直接验证。

Q3：平台已通过等保三级认证，我们还需要做什么？

平台认证覆盖的是极狐GitLab自身系统，企业使用该平台承载的业务系统仍需独立开展等保定级、备案与测评。平台的作用是提供覆盖身份鉴别、访问控制、安全审计等层面的技术能力，以及认证材料支撑，降低代码环节的建设成本。

代码环节是等保三级建设里容易被低估的一块：测评条款不区分「代码平台」和「生产系统」，但举证难度取决于平台能力是否开箱即用。如果你正在为等保测评选型或整改代码托管平台，可以预约极狐GitLab演示，或前往极狐GitLab文档中心逐项核对上述功能的官方说明，也可以先申请免费试用，在私有化环境里把2FA、受保护分支与审计链路跑通一遍再定方案。