1. Gitaly 서버용 인증서를 생성합니다.

2. Gitaly 클라이언트에서 인증서(또는 해당 인증 기관)를 /etc/gitlab/trusted-certs에 복사합니다:

   sudo cp cert.pem /etc/gitlab/trusted-certs/
   

3. Gitaly 클라이언트에서 /etc/gitlab/gitlab.rb의 gitlab_rails['repositories_storages']를 다음과 같이 편집합니다:

   gitlab_rails['repositories_storages'] = {
     'default' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage1' => { 'gitaly_address' => 'tls://gitaly1.internal:9999' },
     'storage2' => { 'gitaly_address' => 'tls://gitaly2.internal:9999' },
   }
   

4. 파일을 저장하고 GitLab을 재구성합니다.

5. Gitaly 서버에서 /etc/gitlab/ssl 디렉토리를 생성하고 키와 인증서를 복사합니다:

   sudo mkdir -p /etc/gitlab/ssl
   sudo chmod 755 /etc/gitlab/ssl
   sudo cp key.pem cert.pem /etc/gitlab/ssl/
   sudo chmod 644 /etc/gitlab/ssl/cert.pem
   sudo chmod 600 /etc/gitlab/ssl/key.pem
   # Linux 패키지 설치의 경우 'git'이 기본 사용자 이름입니다. 기본값에서 변경된 경우 다음 명령을 수정하세요
   sudo chown -R git /etc/gitlab/ssl
   

6. 모든 Gitaly 서버 인증서(또는 해당 인증 기관)를 모든 Gitaly 서버와 클라이언트의 /etc/gitlab/trusted-certs에 복사하여 Gitaly 서버와 클라이언트가 자신 또는 다른 Gitaly 서버를 호출할 때 인증서를 신뢰하도록 합니다:

   sudo cp cert1.pem cert2.pem /etc/gitlab/trusted-certs/
   

7. /etc/gitlab/gitlab.rb를 편집하고 다음을 추가합니다:

   gitaly['configuration'] = {
      # ...
      tls_listen_addr: '0.0.0.0:9999',
      tls: {
        certificate_path: '/etc/gitlab/ssl/cert.pem',
        key_path: '/etc/gitlab/ssl/key.pem',
        ## Gitaly가 클라이언트에 제공하는 최소 TLS 버전을 선택적으로 구성합니다.
        ##
        ## 기본값: "TLS 1.2"
        ## 옵션: ["TLS 1.2", "TLS 1.3"].
        #
        # min_version: "TLS 1.2"
      },
   }
   

8. 파일을 저장하고 GitLab을 재구성합니다.

9. Gitaly 클라이언트(예: Rails 애플리케이션)에서 sudo gitlab-rake gitlab:gitaly:check를 실행하여 Gitaly 서버에 연결할 수 있는지 확인합니다.

10. Gitaly 연결 유형 관찰을 통해 Gitaly 트래픽이 TLS로 제공되는지 확인합니다.

11. 선택사항. 다음을 통해 보안을 강화합니다:

    1. /etc/gitlab/gitlab.rb에서 gitaly['configuration'][:listen_addr]을 주석 처리하거나 삭제하여 비 TLS 연결을 비활성화합니다.
    2. 파일을 저장합니다.
    3. GitLab을 재구성합니다.

/etc/gitlab/ssl 디렉토리 아래 SSL 인증서의 내용이 업데이트되었지만 /etc/gitlab/gitlab.rb에 구성 변경이 없는 경우 GitLab을 재구성해도 Gitaly에 영향을 미치지 않습니다. 대신 Gitaly 프로세스에서 인증서를 로드하려면 Gitaly를 수동으로 재시작해야 합니다:

sudo gitlab-ctl restart gitaly

/etc/gitlab/gitlab.rb 파일을 변경하지 않고 /etc/gitlab/trusted-certs의 인증서를 변경하거나 업데이트하는 경우 다음을 수행해야 합니다:

1. 신뢰할 수 있는 인증서의 심볼릭 링크가 업데이트되도록 GitLab을 재구성합니다.

2. Gitaly 프로세스에서 인증서를 로드하려면 Gitaly를 수동으로 재시작합니다:

   sudo gitlab-ctl restart gitaly