Lancer un serveur Git

1. Mise en place des utilisateurs, des groupes et des permissions

Vous devrez être utilisateur root pour la première partie de la configuration. Créez l'utilisateur et le groupe git et indiquez un hash de mot de passe inutilisable avec les commandes suivantes :

groupadd -g 58 git &&
useradd -c "git Owner" -d /home/git -m -g git -s /usr/bin/git-shell -u 58 git &&
sed -i '/^git:/s/^git:[^:]:/git:NP:/' /etc/shadow

Enregistrer un hash de mot de passe inutilisable (en remplaçant le ! par NP) déverrouille le compte mais empêche de l'utiliser avec un mot de passe. Cela est requis par sshd pour fonctionner correctement. Ensuite, créez certains fichiers et répertoires dans le répertoire personnel de l'utilisateur git qui permettent de donner accès aux dépôts git avec des clés ssh.

install -o git -g git -dm0700 /home/git/.ssh &&
install -o git -g git -m0600 /dev/null /home/git/.ssh/authorized_keys

Pour les développeurs qui doivent accéder au dépôt, ajoutez sa clé publique ssh à /home/git/.ssh/authorized_keys. Commencez par ajouter certaines options pour éviter que les utilisateurs ne puissent utiliser la connexion à git pour rediriger des ports vers d'autres machines que le serveur git peut atteindre.

echo -n "no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty " >> /home/git/.ssh/authorized_keys &&
cat <user-ssh-key> >> /home/git/.ssh/authorized_keys

C'est aussi utile d'indiquer le nom par défaut de la branche initiale d'un nouveau dépôt en modifiant la configuration git. En tant qu'utilisateur root, lancez :

git config --system init.defaultBranch trunk

Enfin, ajoutez l'entrée /usr/bin/git-shell au fichier de configuration /etc/shells. Ce shell a été indiqué dans le profil utilisateur de git et s'assure que seules les actions liées à git peuvent être exécutées :

echo "/usr/bin/git-shell" >> /etc/shells

2. Créer un dépôt git

Le dépôt peut être n'importe où sur le système de fichiers. Il est important que l'utilisateur git puisse lire et écrire à cet emplacement. Nous utilisons /srv/git comme répertoire de base. Créez un nouveau dépôt git avec les commandes suivante (en tant qu'utilisateur root) :

install -o git -g git -m755 -d /srv/git/project1.git &&
cd /srv/git/project1.git                             &&
git init --bare                                      &&
chown -R git:git .

3. Remplissez le dépôt à partir du système client

Maintenant que le dépôt est créé, il peut être utilisé par les développeurs pour y mettre des fichiers. Une fois les clés ssh des utilisateurs importées dans le fichier authorized_keys de git, on peut interagir avec le dépôt.

Une configuration minimale devrait être disponible sur le système du développeur pour spécifier son nom d'utilisateur et l'adresse de courriel. Créez ce fichier de configuration minimal côté client :

cat > ~/.gitconfig <<EOF
[user]
        name = <users-name>
        email = <users-email-address>
EOF

Sur la machine du développeur, configurez certains fichiers à pousser vers le dépôt comme contenu initial :

mkdir myproject
cd myproject
git init --initial-branch=trunk
git remote add origin git@gitserver:/srv/git/project1.git
cat >README <<EOF
This is the README file
EOF
git add README
git commit -m 'Initial creation of README'
git push --set-upstream origin trunk

Le contenu initial est maintenant poussé sur le serveur et est disponible pour les autres utilisateurs. Sur la machine actuelle, l'argument --set-upstream origin trunk n'est maintenant plus requis car le dépôt local est maintenant connecté au dépôt distant. Les poussages suivants peuvent se faire avec

git push

Les autres développeurs peuvent maintenant cloner le dépôt et faire des modifications sur le contenu (tant que leurs clés ssh ont été installées) :

git clone git@gitserver:/srv/git/project1.git
cd project1
vi README
git commit -am 'Fix for README file'
git push

L'accès est restreint aux clés publique ajoutées dans le fichier authorized_keys de git et il n'y a pas de possibilité pour l'export / clonage public du dépôt. Pour cela, continuez à l'étape 4 pour configurer le serveur git pour l'accès public en lecture seule.

Dans l'URL utilisée pour cloner le projet, le chemin absolu (ici /srv/git/project1.git) a été spécifié car le dépôt n'est pas dans le répertoire personnel de git mais dans /srv/git. Pour ne pas avoir à exposer la structure de l'installation du serveur, vous pouvez ajouter un lien symbolique dans le répertoire personnel de git pour chaque projet, comme ceci :

ln -svf /srv/git/project1.git /home/git/

Maintenant, le dépôt peut être cloné avec

git clone git@gitserver:project1.git

4. Configurer le serveur

La configuration décrite plus haut rend le dépôt disponible pour les utilisateurs authentifiés (en fournissant la clé ssh publique). Il y a aussi un moyen simple de publier le dépôt pour des utilisateurs non authentifiés — évidemment sans l'accès en écriture.

La combinaison de l'accès via ssh (pour les utilisateurs authentifiés) et l'export des dépôt pour les utilisateurs non authentifiés via le démon est en général suffisant pour un site de développement.

Pour démarrer le serveur au démarrage, installez l'unité git-daemon.service du paquet blfs-systemd-units-20220227 :

make install-git-daemon

Pour permettre à git d'exporter un dépôt, un fichier nommé git-daemon-export-ok est requis dans chaque répertoire de dépôt sur le serveur. Le fichier n'a pas besoin de contenu, son existence suffit à activer et son absence à désactiver l'export du dépôt.

touch /srv/git/project1.git/git-daemon-export-ok

En plus de l'unité git-daemon.service, un fichier de configuration nommé /etc/default/git-daemon a été installé. Voyez ce fichier de configuration et faite-le correspondre à vos besoins.

Il n'y a que trois options à indiquer dans le fichier de configuration :

Après avoir démarré le démon, les utilisateurs non authentifiés peuvent cloner les dépôts exportés en utilisant

git clone git://gitserver/project1.git

Comme le répertoire de bsae est /srv/git par défaut (ou une valeur personnalisée dans la configuration), git interprète les chemins (/project1.git) relativement au répertoire de base, si bien que c'est le dépôt dans /srv/git/project1.git qui est servi.