1. Gitaly 서버용 인증서를 생성합니다.

2. Gitaly 클라이언트에서 인증서(또는 그 인증 기관)를 /etc/gitlab/trusted-certs로 복사합니다.

   sudo cp cert.pem /etc/gitlab/trusted-certs/
   

3. Gitaly 클라이언트에서 /etc/gitlab/gitlab.rb의 gitlab_rails['repositories_storages']를 다음과 같이 편집합니다.

   gitlab_rails['repositories_storages'] = {
     'default' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage1' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage2' => { 'gitaly_address' => 'tls://gitaly2.internal:9999' },
   }
   

4. 파일을 저장하고 GitLab을 재구성합니다.

5. Gitaly 서버에서 /etc/gitlab/ssl 디렉터리를 만들고 키와 인증서를 그곳으로 복사합니다.

   sudo mkdir -p /etc/gitlab/ssl
   sudo chmod 755 /etc/gitlab/ssl
   sudo cp key.pem cert.pem /etc/gitlab/ssl/
   sudo chmod 644 /etc/gitlab/ssl/cert.pem
   sudo chmod 600 /etc/gitlab/ssl/key.pem
   # For Linux package installations, 'git' is the default username. Modify the following command if it was changed from the default
   sudo chown -R git /etc/gitlab/ssl
   

6. Gitaly 서버와 클라이언트가 자기 자신이나 다른 Gitaly 서버를 호출할 때 인증서를 신뢰하도록, 모든 Gitaly 서버 인증서(또는 그 인증 기관)를 모든 Gitaly 서버와 클라이언트의 /etc/gitlab/trusted-certs로 복사합니다.

   sudo cp cert1.pem cert2.pem /etc/gitlab/trusted-certs/
   

7. /etc/gitlab/gitlab.rb를 편집해 다음을 추가합니다.

   gitaly['configuration'] = {
      # ...
      tls_listen_addr: '0.0.0.0:9999',
      tls: {
        certificate_path: '/etc/gitlab/ssl/cert.pem',
        key_path: '/etc/gitlab/ssl/key.pem',
        ## Optionally configure the minimum TLS version Gitaly offers to clients.
        ##
        ## Default: "TLS 1.2"
        ## Options: ["TLS 1.2", "TLS 1.3"].
        #
        # min_version: "TLS 1.2"
      },
   }
   

8. 파일을 저장하고 GitLab을 재구성합니다.

9. Gitaly 클라이언트(예: Rails 애플리케이션)에서 sudo gitlab-rake gitlab:gitaly:check를 실행해 Gitaly 서버에 연결되는지 확인합니다.

10. Gitaly 연결 유형 관찰로 Gitaly 트래픽이 TLS로 제공되는지 확인합니다.

11. 선택 사항. 다음과 같이 보안을 강화합니다.

    1. /etc/gitlab/gitlab.rb의 gitaly['configuration'][:listen_addr]을 주석 처리하거나 삭제해 TLS가 아닌 연결을 비활성화합니다.
    2. 파일을 저장합니다.
    3. GitLab을 재구성합니다.

/etc/gitlab/ssl 디렉터리 아래의 SSL 인증서 내용이 변경되었지만 /etc/gitlab/gitlab.rb의 구성은 바뀌지 않았다면, GitLab을 재구성해도 Gitaly에는 영향이 없습니다. 이 경우 Gitaly 프로세스가 인증서를 읽도록 Gitaly를 직접 재시작해야 합니다.

sudo gitlab-ctl restart gitaly

/etc/gitlab/gitlab.rb 파일을 변경하지 않은 채 /etc/gitlab/trusted-certs의 인증서를 변경하거나 업데이트했다면 다음을 수행해야 합니다.

1. 신뢰 인증서의 심볼릭 링크가 갱신되도록 GitLab을 재구성합니다.

2. Gitaly 프로세스가 인증서를 읽도록 Gitaly를 직접 재시작합니다.

   sudo gitlab-ctl restart gitaly