很多用户在配置 GitLab 与 LDAP 集成时，常常遇到一个令人困惑的问题：LDAP 中的用户明明已经同步成功，分支保护规则也设置完毕，但用户却无法推送代码，或者合并请求被拒绝。问题的核心在于 GitLab 的分支保护机制与 LDAP 组映射是两套独立的体系，它们之间并不会自动关联。你必须手动将 LDAP 组同步为 GitLab 群组，再将群组权限映射为对应的角色，最后在分支保护规则中显式允许该角色执行推送或合并操作——任何一步遗漏，配置就会形同虚设。

受保护分支规则不生效，LDAP 用户组权限未继承？

实际上，问题并非配置遗漏，而是 GitLab 的分支保护规则与 LDAP 组映射默认不会自动联动。即便你在 LDAP 中将用户划分到 `dev-team` 组，GitLab 也不会自动将该组映射为项目中的 `Developer` 角色，更不会自动赋予该组对特定分支的 `Allowed to merge` 权限。具体来说，有以下几点需要注意： - 在 GitLab 的 `protected branches` 页面中，“Allowed to merge” 和 “Allowed to push” 下拉菜单只显示角色（如 `Developer`、`Maintainer`），并不会显示 LDAP 组名称。 - LDAP 同步后，用户虽然进入了 GitLab，但角色分配仍需手动操作，或通过 Group Sync 功能显式绑定。 - 群组级别的保护规则（`group_protected_branches`）在 17.6 及以上版本中已正式可用，但仅支持顶级群组，且必须由群组所有者配置，项目维护者无法覆盖。

如何让 LDAP 组成员自动获得分支操作权限？

必须启用并正确配置 GitLab 的 LDAP Group Sync 功能，否则 LDAP 用户将始终处于“未分配角色”的状态。关键点在于：不仅要同步用户，还要将 LDAP 组同步到 GitLab 群组，并将群组权限映射为角色。具体操作步骤如下： - 在 `/etc/gitlab/gitlab.rb` 中启用 group sync：`gitlab_rails['ldap_group_sync_enabled'] = true` - 配置 `ldap_group_sync_base` 和 `ldap_group_sync_filter`，确保能够检索到你的组织单位（OU），例如：`base: "ou=groups,dc=corp,dc=com"`，`filter: "(cn=gitlab-devs)"` - 在 GitLab Web 管理后台（`Admin Area → LDAP → Groups`）确认目标 LDAP 组已出现在同步列表中，并勾选 “Sync groups as GitLab groups” - 创建一个同名的 GitLab 群组（如 `gitlab-devs`），将该群组添加为项目成员，角色设为 `Developer` —— 此时 LDAP 用户才真正获得项目级别的 `Developer` 权限

为什么设置了群组保护规则，但 feature/* 分支仍被拒绝推送？

这是因为群组级别的保护规则仅作用于“匹配的分支名称”，且默认情况下不会向 `Developer` 角色开放 `Allowed to push` 权限。GitLab 的设计逻辑是：即使你属于群组中的 Developer，也必须显式允许你向特定分支推送。以下是几个容易踩坑的要点： - 群组保护规则页面中，“Allowed to push” 默认为空，必须手动选择 `Developers` 或 `Maintainers` 才会生效。 - 通配符匹配存在优先级：如果同时存在 `main` 和 `*` 两条规则，`main` 规则优先；但 `feature-*` 和 `*` 共存时，GitLab 会合并所有匹配规则的权限，取最宽松的结果——这反而可能导致越权。 - 检查实际生效的规则：在项目侧打开 `Settings → Repository → Branch rules`，查看是否有更高优先级的项目级规则覆盖了群组规则。 - 强制推送（`git push --force-with-lease`）默认禁用，但旧版本或自定义配置可能开启，需确认 `Allow force push` 是否已关闭。

本地 git config 或 pre-push hook 能否替代远端保护？

不能。所有分支保护逻辑均在 GitLab 服务端执行，客户端的 hook 只能提供提示，无法真正拦截。具体来说： - `.git/hooks/pre-push` 可以读取当前分支名并发出警告，但用户删除 hook 或使用 `git push --no-verify` 绕过，就会完全失效。 - CI 中做二次校验（如 `if [[ $(git rev-parse --abbrev-ref HEAD) == "main" ]]; then exit 1; fi`）仅适用于 merge request pipeline，对直接 push 无效。 - 真正的防线只有两个：远端的 `protected branches` 开关 + LDAP Group Sync 正确落地。 GitLab 分支保护与 LDAP 权限绑定的复杂之处不在于界面操作，而在于三处隐性依赖：LDAP 组能否被 GitLab 识别、GitLab 群组是否与 LDAP 组完成角色映射、群组保护规则是否显式授予了 `push` 权限——任一步骤缺失，都会导致“看似配置完成，实际无法生效”的局面。