Help us learn about your current experience with the documentation. Take the survey.

组访问令牌

Tier: Free, Premium, Ultimate
Offering: GitLab.com, GitLab Self-Managed, GitLab Dedicated

使用组访问令牌，您可以使用单个令牌来：

执行组相关的操作。
管理组内的项目。

您可以使用组访问令牌进行身份验证：

通过 GitLab API。
通过 Git over HTTPS 进行身份验证。使用：
- 任意非空值作为用户名。
- 组访问令牌作为密码。

组访问令牌与项目访问令牌和个人访问令牌类似，但它们是与组而不是项目或用户关联的。

您不能使用组访问令牌创建其他组、项目或个人访问令牌。

组访问令牌继承为个人访问令牌配置的默认前缀设置。

可用性

在 GitLab.com 上，如果您拥有 Premium 或 Ultimate 许可层级，可以使用组访问令牌，但不能使用试用许可证。
在 GitLab Dedicated 和 GitLab Self-Managed 实例上：
- 您可以在任何许可层级使用组访问令牌。如果您使用 Free 层级：
  - 请审查关于用户自助注册的安全和合规策略。
  - 考虑限制组访问令牌的创建以降低潜在的滥用风险。
- 如果设置了限制，组访问令牌受与个人访问令牌相同的最大生命周期限制。

创建组访问令牌

扩展的最大允许生命周期可用性由功能标志控制。有关更多信息，请查看历史记录。

在 GitLab 15.4 中弃用并在 GitLab 16.0 中移除了创建没有过期日期的组访问令牌的功能。有关为现有令牌添加过期日期的更多信息，请参阅访问令牌过期文档。

使用 UI

要创建组访问令牌：

在左侧边栏，选择 搜索或跳转 并找到您的组。
选择 设置 > 访问令牌。
选择 添加新令牌。
在 令牌名称 中，输入一个名称。令牌名称对任何有权限查看该组的用户都可见。
可选。在 令牌描述 中，输入令牌的描述。
在 过期日期 中，输入令牌的过期日期：
- 令牌在该日期午夜 UTC 过期。过期日期为 2024-01-01 的令牌在 2024-01-01 00:00:00 UTC 过期。
- 如果您不输入过期日期，过期日期将自动设置为当前日期后 365 天。
- 默认情况下，此日期最多可以是当前日期后 365 天。在 GitLab 17.6 或更高版本中，您可以将此限制延长至 400 天。
- 实例范围的最大生命周期设置可以限制 GitLab Self-Managed 实例中的最大允许生命周期。
为令牌选择一个角色。
选择所需的范围。
选择 创建组访问令牌。

将显示组访问令牌。请将组访问令牌保存在安全的地方。离开或刷新页面后，您将无法再次查看它。

组访问令牌被视为内部用户。如果内部用户创建组访问令牌，该令牌能够访问所有设置为内部可见性的项目。

使用 Rails 控制台

如果您是管理员，可以在 Rails 控制台中创建组访问令牌：

在 Rails 控制台中运行以下命令：

# 设置要使用的 GitLab 管理用户。如果用户 ID 1 不可用或不是管理员，请使用 'admin = User.admins.first' 来选择管理员。
admin = User.find(1)

# 设置您要为其创建令牌的组。例如，ID 为 109 的组。
group = Group.find(109)

# 创建组机器人用户。对于其他组访问令牌，用户名应为 `group_{group_id}_bot_{random_string}`，电子邮件地址为 `group_{group_id}_bot_{random_string}@noreply.{Gitlab.config.gitlab.host}`。
random_string = SecureRandom.hex(16)
service_response = Users::CreateService.new(admin, { name: 'group_token', username: "group_#{group.id}_bot_#{random_string}", email: "group_#{group.id}_bot_#{random_string}@noreply.#{Gitlab.config.gitlab.host}", user_type: :project_bot }).execute
bot = service_response.payload[:user] if service_response.success?

# 确认组机器人。
bot.confirm

# 将机器人添加到组中并分配所需角色。
group.add_member(bot, :maintainer)

# 为机器人创建个人访问令牌。
token = bot.personal_access_tokens.create(scopes:[:api, :write_repository], name: 'group_token')

# 获取令牌值。
gtoken = token.token

测试生成的组访问令牌是否有效：
1. 在 PRIVATE-TOKEN 标头中使用组访问令牌与 GitLab REST API。例如：
  - 在组中创建史诗。
  - 在组的项目中创建项目流水线。
  - 在组的项目中创建问题。
2. 使用组令牌通过 HTTPS 克隆组的项目。

撤销或轮换组访问令牌

在 GitLab 17.9 及更高版本中，您可以在访问令牌页面查看活动和非活动的组访问令牌。

非活动组访问令牌表显示已撤销和过期的令牌，直到它们被自动删除。

要撤销或轮换组访问令牌：

在左侧边栏，选择 搜索或跳转 并找到您的组。
选择 设置 > 访问令牌。
对于相关令牌，选择撤销 ( ) 或轮换 ( )。
在确认对话框中，选择撤销或轮换。