Ship Smarter, Not Harder: Kubernetes ຄ່າໃຊ້ຈ່າຍ CI / CD ມີ GitHub Actions + Helm

ຜູ້ຊ່ຽວຊານ: Freelancers ແລະທີມງານຂະຫນາດນ້ອຍທີ່ຕ້ອງການການສະຫນອງ Kubernetes ທີ່ຖືກຕ້ອງ, ລາຄາບໍ່ແພງ. ນີ້ແມ່ນອຸປະກອນມືອາຊີບທີ່ຍິ່ງໃຫຍ່ທີ່ມີຈໍານວນຫຼາຍຂອງລະຫັດທີ່ສາມາດຕັດສິນໃຈແລະຄໍາແນະນໍາເພີ່ມເຕີມ. ລະຫັດ QR ການກໍ່ສ້າງຮູບພາບ Docker ໃນ GitHub Actions, ດາວນ໌ໂຫລດຮູບພາບທັງ ຫມົດ ກັບ Commit SHA, ດາວນ໌ໂຫລດ GitHub Container Registry (GHCR) ໂດຍໃຊ້ GITHUB_TOKEN ທີ່ສ້າງຕັ້ງຂຶ້ນ, ແລະດໍາເນີນການ Kubernetes ກັບ Helm. ນີ້ແມ່ນ inframodern ແລະມີຄ່າໃຊ້ຈ່າຍຕ່ໍາ, ໃນຂະນະທີ່ລະຫັດ, IC, registry, ແລະອະນຸຍາດຂອງທ່ານທັງຫມົດຢູ່ໃນ GitHub. (GitHub Docs) ການນໍາສະເຫນີ Kubernetes ສໍາລັບການປັບປຸງ rolling, ແລະການປັບປຸງຄວາມປອດໄພ + ການທົດສອບຄວາມປອດໄພ, ດັ່ງນັ້ນ pods ບໍ່ໄດ້ຮັບການປອດໄພເຖິງທີ່ພວກເຂົາເຈົ້າໄດ້ປອດໄພ (ແລະໄດ້ຮັບ reboot ໃນຂະນະທີ່ພວກເຂົາເຈົ້າໄດ້ປອດໄພ). ເຮັດໃຫ້ pipeline waiting ກັບ helm --wait --atomic ແລະ kubectl ສະພາບອຸປະກອນການປອດໄພໃນຂະນະທີ່ການເຮັດວຽກ "ສີຂາວ" ແມ່ນປະສິດທິພາບ. (Kubernetes, Helm) ຂ້າພະເຈົ້າຊອກຫາລັກສະນະທີ່ມີປະສິດທິພາບ: (1) shipping :latest, (2) ບໍ່ຄາດວ່າຈະໄດ້ເປີດ, (3) ການໃຫ້ CI cluster-admin. Fixes: tag or digest-pin images, waiting on the rollout, and scope deploy permissions with RBAC in the target namespace. (Kubernetes) ໂຕະ ກິນ ເຂົ້າ Why this stack fits freelancers ການກໍ່ສ້າງໃນຫນຶ່ງຮູບພາບ ການຕິດຕັ້ງແລະສະພາບແວດລ້ອມທີ່ທ່ານຕ້ອງການ ຊື່ຫຍໍ້ຂອງ : A tiny sample app (Node.js) you can actually run Dockerfile: ການສ້າງ multi-stage, ສະແດງໃຫ້ເຫັນ ການກໍ່ສ້າງແລະຄຸນນະພາບຂອງ Helm Chart: ສິ່ງທີ່ເກີດຂຶ້ນແລະວິທີການ CI: GitHub Actions workflow to build/tag/push (ມີ caching) CD: ການປັບປຸງ Helm, Timeouts Safe, ແລະການທົດສອບການນໍາໃຊ້ ການຄົ້ນຄວ້າຄຸນນະພາບທີ່ກວດສອບການປິ່ນປົວການປິ່ນປົວ ຄົ້ນຫາທີ່ຜ່ານມາ: Pitfalls I see weekly (ແລະວິທີການປ້ອງກັນກັບພວກເຂົາ) RBAC ຂະຫນາດນ້ອຍສໍາລັບ CI (No More Cluster-admin) ອັດຕະໂນມັດແລະ imagePullSecrets (GHCR note) Rollbacks, ຜູ້ທີ່ເຮັດສິ່ງທີ່, ແລະຄວາມໄວ້ວາງໃຈ "I am healthy?" A reusable repo ການອອກແບບ & a secrets checklist ຄຸນນະສົມບັດ: ຄຸນນະສົມບັດທີ່ແຕກຕ່າງກັນກັບ Kustomize ສະຫນັບສະຫນູນ: ຊັ້ນເພີ່ມເຕີມຂອງ CI (ການທົດສອບ, concurrency, ການຄວບຄຸມຄວາມປອດໄພ) ລະຫັດ QR 1) Why this stack fits freelancers ໃນເວລາທີ່ທ່ານເປັນ solos ຫຼືເຮັດວຽກກັບທີມງານຂະຫນາດນ້ອຍ, ເວລາທີ່ທ່ານ ການນໍາໃຊ້ເຄື່ອງມືຄ້າຍຄືກັນແມ່ນເວລາທີ່ທ່ານສາມາດບັນຊີລາຍໄດ້. ການກັ່ນຕອງທີ່ຜ່ານມາເຮັດໃຫ້ການກັ່ນຕອງຄວາມຮ້ອນຂະຫນາດນ້ອຍແລະສ່ວນທີ່ແຕກຕ່າງກັນ: ຂ້າພະເຈົ້າບໍ່ GitHub Actions + GHCR: ທ່ານ already stored your code in GitHub; Actions run your builds and GHCR keeps your images in the same trust boundary. ມີຄວາມສາມາດໃນການເຮັດວຽກທີ່ເຫມາະສົມ, GITHUB_TOKEN ທີ່ສ້າງຕັ້ງຂຶ້ນແມ່ນ sufficient to push images — no additional tokens to rotate, no additional accounts to manage. (GitHub Docs) Helm: ຜູ້ຊ່ຽວຊານຄາດຄະເນ Helm. Charts ແມ່ນພຽງແຕ່ຄາດຄະເນທີ່ມີສະຖານທີ່ສວຍງາມສໍາລັບການຄາດຄະເນ (values.yaml) ແລະວິທີທີ່ງ່າຍທີ່ຈະກວດສອບພວກເຂົາໂດຍທົ່ວໄປ. (Helm) Kubernetes Deployments: ການປັບປຸງ rolling ແມ່ນຄ່າໃຊ້ຈ່າຍ – Kubernetes ດໍາ ເນີນການປັບປຸງທີ່ຜ່ານມາກັບການປັບປຸງໃຫມ່ແລະພຽງແຕ່ declares ຄວາມປອດໄພຫຼັງຈາກການ ReplicaSet ໃຫມ່ໄດ້ຮັບການອຸປະກອນ. ມັນເປັນເວລາປະມານ zero ໃນຂະນະທີ່ທ່ານສາຍການທົດສອບແລະຄາດວ່າຈະໄດ້ນໍາໃຊ້. (Kubernetes) 2) Architecture ໃນຮູບພາບຫນຶ່ງ ຂໍຂອບໃຈທີ່ຜ່ານມາ: ໃນຂະນະທີ່ການນໍາໃຊ້ໄດ້ຖືກປິ່ນປົວຢ່າງວ່ອງໄວ (ຫຼືທັນທີ), ມັນເປັນສິ່ງທີ່ຈໍາເປັນທີ່ທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີທັນທີ ( ) your pipeline blocks ປະເພດ Kubernetes 3) ການຕິດຕັ້ງແລະສະພາບແວດລ້ອມ once-time ທ່ານຈະຕ້ອງການ kubectl ໃນ runner ແລະໃນເຄື່ອງຂອງທ່ານ. ນໍາໃຊ້ການຕິດຕັ້ງເປັນເອກະລັກເພື່ອໃຫ້ມີຕົວແທນທີ່ຕອບສະຫນອງຂອງ cluster ຂອງທ່ານ (ປົກກະຕິ ± 1 minor). (Kubernetes) Helm v3 on the runner. ເວັບໄຊທ໌ການຕິດຕັ້ງທາງອຸປະກອນການທີ່ຫຼາຍຄົນນໍາໃຊ້ໃນ CI. (Helm) GHCR ອະນຸຍາດໃນ org/repo ຂອງທ່ານ. Add the OCI label org.opencontainers.image.source in your Dockerfile so GHCR auto-links the package to your repo; use GITHUB_TOKEN with packages: write scoped by workflow permissions. (GitHub Docs) ຖ້າ ຫາກ ວ່າ ທ່ານ ຂ້າພະເຈົ້າສືບຕໍ່ໄດ້ຮັບການປະທັບໃຈ ສໍາ ລັບຂ້າພະເຈົ້າ! ຂ້າພະເຈົ້າຫວັງວ່າຈະໄດ້ເຮັດວຽກຮ່ວມກັບທ່ານອີກເທື່ອຫນຶ່ງ! ) Why versions/skew matters: kubectl ປະເພດ Kubernetes 4) app sample ຂະຫນາດນ້ອຍ (Node.js) ທ່ານສາມາດເຮັດວຽກ ສອງ endpoints ທີ່ map directly ກັບ Kubernetes probes: // app/server.js import http from 'node:http'; const port = process.env.PORT || 3000; let ready = false; // Simulate warm-up work: DB connection, JIT, caches... setTimeout(() => (ready = true), 3000); const server = http.createServer((req, res) => { if (req.url === '/livez') return res.end('ok'); // liveness probe if (req.url === '/healthz') return res.end(ready ? 'ok' : 'starting'); // readiness probe res.writeHead(200, { 'content-type': 'text/plain' }); res.end('hello'); }); server.listen(port, () => console.log(`listening on ${port}`)); ລະຫັດ QR ເພື່ອ CI ສາມາດເຮັດການທົດສອບຢ່າງວ່ອງໄວ: package.json { "name": "demo-app", "type": "module", "scripts": { "start": "node app/server.js", "test": "node -e \"const http=require('http');http.get('http://127.0.0.1:3000',r=>process.exit(r.statusCode===200?0:1))\"" }, "dependencies": {} } ຄວາມຄິດເຫັນທີ່ ແລະ Kubernetes ເຮັດໃຫ້ພວກເຂົາທີ່ແຕກຕ່າງກັນ - ການຂົນສົ່ງ Gates ດາວໂຫລດບັນຊີລາຍລະອຽດທີ່ກ່ຽວຂ້ອງ ) /healthz /livez readiness liveness ປະເພດ Kubernetes 5) Dockerfile: ການສ້າງ multi-stage, ສະແດງໃຫ້ເຫັນ ການກໍ່ສ້າງອຸປະກອນ (compilers, bundlers) ແມ່ນບໍ່ຈໍາເປັນໃນຂະນະທີ່ Runtime. splitting ແລະ ຮູບພາບ ສໍາ ລັບ Docker ໃນ 2 ວິນາທີ ) build runtime ການຢັ້ງຢືນ Docker # Dockerfile # -------- build stage -------- FROM node:20 AS build WORKDIR /app COPY package*.json ./ RUN npm ci --omit=dev COPY . . # leave only prod deps RUN npm prune --omit=dev # -------- runtime stage -------- FROM node:20-slim WORKDIR /app COPY --from=build /app ./ EXPOSE 3000 CMD ["node","app/server.js"] # helps GHCR link this image to your repo automatically LABEL org.opencontainers.image.source="https://github.com/your-org/your-repo" ຖ້າຫາກວ່າທ່ານຕ້ອງການຮູບພາບ multi-arch (arm64 laptop, amd64 server), ແລະ QEMU ເຮັດໃຫ້ມັນໄດ້ຢ່າງງ່າຍດາຍທີ່ມີການເຮັດວຽກຫນຶ່ງ. ພວກເຮົາມີຄວາມໄວການເຊື່ອມຕໍ່ກັບແຜ່ນຫນຶ່ງ. ( ) Buildx ການຢັ້ງຢືນ Docker 6) ການກໍ່ສ້າງແລະຄຸນນະພາບຂອງ Helm Chart: ສິ່ງທີ່ເກີດຂຶ້ນແລະວິທີການ ກາຕູນ Helm ແມ່ນບັນຊີລາຍລະອຽດທີ່ມີການອອກແບບທີ່ແຕກຕ່າງກັນ; ຄຸນນະສົມບັດທີ່ແຕກຕ່າງກັນແມ່ນຢູ່ໃນ , ແລະ templates ຍິນດີຕ້ອນຮັບ . You can override defaults per environment ກັບ ລະຫັດ QR ປະເພດ ) values.yaml templates/ --values path.yaml --set key=value ລະຫັດ QR chart/Chart.yaml apiVersion: v2 name: app description: Minimal demo app type: application version: 0.1.0 # chart version appVersion: "0.1.0" # your app version (for humans; not enforced) (Defaults ທ່ານຈະ override ໃນ CI) chart/values.yaml image: repository: ghcr.io/your-org/your-repo/app tag: "CHANGE_ME" # CI will set this to the commit SHA pullPolicy: IfNotPresent service: type: ClusterIP port: 80 targetPort: 3000 replicaCount: 2 resources: requests: { cpu: 100m, memory: 128Mi } limits: { cpu: 500m, memory: 256Mi } # optional if using private images # imagePullSecrets: # - name: ghcr-pull (ການທົດສອບ + ການປັບປຸງ rolling) chart/templates/deployment.yaml apiVersion: apps/v1 kind: Deployment metadata: name: {{ include "app.fullname" . }} labels: app.kubernetes.io/name: {{ include "app.name" . }} spec: replicas: {{ .Values.replicaCount }} strategy: { type: RollingUpdate } selector: matchLabels: app.kubernetes.io/name: {{ include "app.name" . }} template: metadata: labels: app.kubernetes.io/name: {{ include "app.name" . }} spec: {{- if .Values.imagePullSecrets }} imagePullSecrets: {{- range .Values.imagePullSecrets }} - name: {{ .name }} {{- end }} {{- end }} containers: - name: app image: "{{ .Values.image.repository }}:{{ .Values.image.tag }}" imagePullPolicy: {{ .Values.image.pullPolicy }} ports: - containerPort: {{ .Values.service.targetPort }} readinessProbe: httpGet: { path: /healthz, port: {{ .Values.service.targetPort }} } initialDelaySeconds: 5 periodSeconds: 5 livenessProbe: httpGet: { path: /livez, port: {{ .Values.service.targetPort }} } initialDelaySeconds: 15 periodSeconds: 10 chart/templates/service.yaml apiVersion: v1 kind: Service metadata: name: {{ include "app.fullname" . }} spec: type: {{ .Values.service.type }} selector: app.kubernetes.io/name: {{ include "app.name" . }} ports: - port: {{ .Values.service.port }} targetPort: {{ .Values.service.targetPort }} ຖ້າຫາກວ່າທ່ານຕ້ອງການການປິ່ນປົວຫຼາຍ DRY, ກະລຸນາເພີ່ມ a ການຄາດຄະເນດິນຟ້າອິນເຕີເນັດທີ່ດີທີ່ສຸດຂອງ Helm ແມ່ນການຄາດຄະເນດິນຟ້າອິນເຕີເນັດທີ່ດີທີ່ສຸດສໍາລັບການຄາດຄະເນດິນຟ້າອິນເຕີເນັດ ( ) _helpers.tpl ລະຫັດ QR 7) CI: ການປະຕິບັດ GitHub ເພື່ອສ້າງ, tag, ແລະ push (ມີ caching) We’ll use Docker’s official Actions: ຂໍຂອບໃຈ , ແລະ .We tag the ຮູບພາບ ກັບ the so every deploy is traceable and immutable. Enable ປະເພດ ປະເພດ ຂໍຂອບໃຈ ) setup-buildx login build-push commit SHA packages: write GITHUB_TOKEN ດາວໂຫລດ GitHub GitHub Docs .github/workflows/ci.yml name: ci on: push: branches: [ "main" ] permissions: contents: read packages: write # allow pushing to GHCR (least privilege) jobs: build-and-push: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 # optional: speed up local tests - uses: actions/setup-node@v4 with: node-version: '20' cache: 'npm' - run: npm ci - run: npm test - name: Set up Docker Buildx uses: docker/setup-buildx-action@v3 - name: Log in to GHCR uses: docker/login-action@v3 with: registry: ghcr.io username: ${{ github.actor }} password: ${{ secrets.GITHUB_TOKEN }} - name: Build and push image uses: docker/build-push-action@v6 with: context: . push: true tags: ghcr.io/${{ github.repository }}/app:${{ github.sha }} cache-from: type=gha cache-to: type=gha,mode=max ຊື່ຫຍໍ້ຂອງ : ການອັບໂຫລດ workflow ຈະຊ່ວຍໃຫ້ການຂຽນບັນຊີ, ຫຼື GHCR ຈະຕອບສະຫນັບສະຫນູນການຂຽນ. ທ່ານສາມາດອັບໂຫລດອັບໂຫລດ repo ໃນອັບໂຫລດ repo ແລະຍັງຄົງຄົງຄົງ per workflow / job. (GitHub Docs) ການບັນທຶກຮູບພາບທີ່ມີ org.opencontainers.image.source ເຮັດໃຫ້ບໍລິສັດ GHCR ການເຊື່ອມຕໍ່ບັນທຶກກັບ UI repo. Buildx ເປັນວິທີທີ່ແນະນໍາທີ່ຈະສ້າງຮູບພາບໃນ Action, ມີການສະຫນັບສະຫນູນການ caching ແລະ multi-arch ທີ່ຖືກເຂົ້າລະຫັດໂດຍ Docker's CI Guide. ? Kubernetes treats image references literally. Mutable Tags ເຮັດໃຫ້ມັນງ່າຍທີ່ຈະຮູ້ສິ່ງທີ່ເຮັດວຽກແລະສາມາດເດີນທາງຄຸນນະພາບການຕັດສິນໃຈ. ການນໍາໃຊ້ Tags Immutable (SHA) ຫຼືເຖິງແມ່ນວ່າ ປະເພດ ) ສໍາລັບການ reproductibility ທີ່ດີ — Kubernetes ສະຫນັບສະຫນູນ digests ໂດຍທົ່ວໄປ. ( ) Why SHA tags instead of :latest :latest digest image@sha256:... ປະເພດ Kubernetes 8) CD: ການປັບປຸງ Helm, timeouts ຄວາມປອດໄພ, ແລະການຄວບຄຸມ rolllout ການນໍາໃຊ້ຢ່າງງ່າຍດາຍຫຼັງຈາກການທົດລອງທີ່ດີເລີດ. ການປິ່ນປົວທັງສອງຄັ້ງທໍາອິດແລະ repeat deploys. Add (ສະຖານທີ່ໃນປັດຈຸບັນ) (don’t wait forever), and (Rollback ອັດຕະໂນມັດໃນຄວາມຜິດພາດ). ຫຼັງຈາກນັ້ນ, ໃນຖານະເປັນສາຍຄວາມປອດໄພເພີ່ມເຕີມ, ດໍາເນີນການ ດາວນ໌ໂຫລດ The Next Generation ຂໍຂອບໃຈ ) helm upgrade --install --wait --timeout --atomic kubectl rollout status ລະຫັດ QR ປະເພດ Kubernetes deploy: needs: build-and-push runs-on: ubuntu-latest environment: production steps: - uses: actions/checkout@v4 - name: Install kubectl (official) run: | curl -LO "https://dl.k8s.io/release/$(curl -Ls https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl" chmod +x kubectl && sudo mv kubectl /usr/local/bin/ - name: Install Helm run: curl -fsSL https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash - name: Configure kubeconfig env: { KUBECONFIG_DATA: ${{ secrets.KUBECONFIG_DATA }} } run: | mkdir -p $HOME/.kube echo "$KUBECONFIG_DATA" | base64 -d > $HOME/.kube/config - name: Helm upgrade (create or update) run: | helm upgrade --install app ./chart \ --namespace prod --create-namespace \ --set image.tag=${{ github.sha }} \ --wait --timeout=10m --atomic - name: Rollout status (extra verification) run: kubectl rollout status deploy/app -n prod --timeout=180s ແລະ ປະເພດ Helmet bubbles up a release-level ປະສິດທິພາບ / ປະສິດທິພາບ; prints per-step progress and gives fast, readable feedback when something’s off. Helm’s ການປ່ຽນແປງຜົນກະທົບໃນ rollback ອັດຕະໂນມັດ – ປະສິດທິພາບທີ່ດີທີ່ສຸດໃນເວລາທີ່ທ່ານຄວນໄດ້ຮັບຄວາມປອດໄພຫຼາຍກ່ວາ “ການປັບປຸງ نصف”. ( ຂໍຂອບໃຈ ) Why both --wait kubectl rollout status --wait kubectl rollout status --atomic ລະຫັດ QR ປະເພດ Kubernetes 9) ການຄົ້ນຄວ້າຄຸນນະພາບທີ່ກວດສອບການປິ່ນປົວການປິ່ນປົວ You can have a perfect rolling update and still serve errors if the app accepts traffic before it is heated up. ການປິ່ນປົວ: ພວກເຂົາເຈົ້າ gates ການບໍລິການ endpoints ໃນເວລາທີ່ pod ຂອງທ່ານ ເວົ້າວ່າ "ready." ການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງການປິ່ນປົວຂອງ ) readiness probes Liveness probes ປະເພດ Kubernetes ການຝຶກອົບຮົມ tuning: If your app needs 20s to warm up, sett initialDelaySeconds on readiness accordingly. If your app occasionally blocks (ລວມທັງ deadlock), ຂໍຂອບໃຈວ່າທ່ານກໍາລັງຊອກຫາ HTTP ຫຼື TCP ທີ່ຈະທົດລອງ endpoint ຫຼື port. ຖ້າຫາກວ່າ app ຂອງທ່ານແມ່ນ slow to start, add a startup probe to delay liveness until boot completes. 10) ສົນທະນາທີ່ຂ້າພະເຈົ້າຊອກຫາຊົ່ວໂມງ (ແລະວິທີການປ້ອງກັນກັບພວກເຂົາ) 10.1 ການຂົນສົ່ງ :latest ເປັນຫຍັງມັນບໍ່ມີຫຍັງ: ການດາວໂຫລດທີ່ແຕກຕ່າງກັນໃນໄລຍະເວລາ; pull cache ແລະຄຸນນະສົມບັດຄຸນນະສົມບັດເຮັດໃຫ້ມັນບໍ່ແມ່ນສວຍງາມວ່າ nodes ທີ່ແທ້ຈິງໄດ້ຕັດຮູບພາບໃຫມ່. ການປິ່ນປົວ: Tag ຮູບພາບໂດຍ commit SHA ຫຼືໃຊ້ digests (@sha256:...). Kubernetes supports digest references; ມັນຈະເລີ່ມຕົ້ນສະບັບຮູບພາບທີ່ຖືກຕ້ອງ. ຮູບພາບ ສໍາ ລັບເອກະສານເອກະສານເອກະສານເອກະສານເອກະສານເອກະສານອະນຸຍາດໃຫ້ Kubernetes ເພື່ອປິ່ນປົວຮູບພາບ, tags, ແລະ digests. (Kubernetes) 10.2 ບໍ່ຄາດວ່າຈະເປັນ rollouts ຂໍຂອບໃຈວ່າທ່ານກໍາລັງຊອກຫາຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບວິທີການທີ່ທ່ານກໍາລັງຊອກຫາຂໍ້ມູນເພີ່ມເຕີມ. ການປິ່ນປົວ: Add --wait --timeout (ແລະອະນຸຍາດ --atomic) ກັບ Helm, ແລະ Run kubectl ການດໍາເນີນການສະພາບອາກາດ, ດັ່ງນັ້ນການທົດລອງສະແດງໃຫ້ເຫັນຢ່າງງ່າຍດາຍໃນບັນຊີລາຍຊື່. (Helm, Kubernetes) 10.3 over-privileged CI (cluster-admin) ເປັນຫຍັງບໍ່ມີຫຍັງ: A token leaked equals full cluster compromise. ການປິ່ນປົວ: Create a ServiceAccount + Role + RoleBinding scopeed to the target namespace, ມີພຽງແຕ່ verbs ແລະຄຸນນະສົມບັດຂອງຄຸນນະສົມບັດຂອງທ່ານ. The RBAC docs call this model out explicitly. (Kubernetes) 11) RBAC ຂະຫນາດນ້ອຍສໍາລັບ CI (copy / paste) # rbac/deployer.yaml apiVersion: v1 kind: ServiceAccount metadata: name: helm-deployer namespace: prod --- apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: helm-deployer namespace: prod rules: - apiGroups: ["apps"] resources: ["deployments","replicasets"] verbs: ["get","list","watch","create","update","patch"] - apiGroups: [""] resources: ["services","configmaps","secrets"] verbs: ["get","list","watch","create","update","patch"] - apiGroups: ["networking.k8s.io"] resources: ["ingresses"] verbs: ["get","list","watch","create","update","patch"] --- apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: helm-deployer namespace: prod subjects: - kind: ServiceAccount name: helm-deployer namespace: prod roleRef: kind: Role name: helm-deployer apiGroup: rbac.authorization.k8s.io ນີ້ແມ່ນລວມທັງ The ວິທີການ: SA ສາມາດພຽງແຕ່ຕິດຕໍ່ສະຖານທີ່ຊື່ແລະປະເພດສະພາບແວດລ້ອມທີ່ຄຸ້ມຄອງໂດຍ Chart ຂອງທ່ານ. ຖ້າຫາກວ່າ token leaks, ການປິ່ນປົວແມ່ນປົກກະຕິກັບ verbs / ການສະພາບແວດລ້ອມທີ່ຢູ່ . RBAC ແມ່ນຮູບແບບການອະນຸຍາດທີ່ສະຫນອງໃນ Kubernetes. ( ) least privilege prod ປະເພດ Kubernetes 12) Registries ເອກະຊົນ & ອັດຕະໂນມັດ imagePullSecrets ຮູບພາບ ສໍາ ລັບ ການບັນທຶກ GHCR public: ແຕ່ລະຄົນສາມາດຕັດໂດຍບໍ່ມີຊື່ສຽງ; ບໍ່ຈໍາເປັນຕ້ອງກວດສອບ. ເອກະສານ GHCR ເອກະຊົນ: ສ້າງລັກສະນະ registry Docker ແລະຕິດຕາມມັນໃນ spec pod ຂອງທ່ານ (ຫຼືຕິດຕາມມັນກັບ ServiceAccount ຂອງທ່ານ). Kubernetes ກວດສອບທັງປະເພດ Secret ແລະເຄື່ອງມື imagePullSecrets. (Kubernetes) Create a pull secret ແລະນໍາໃຊ້ມັນໃນ : prod kubectl create secret docker-registry ghcr-pull \ --docker-server=ghcr.io \ --docker-username=YOUR_GITHUB_USERNAME \ --docker-password=YOUR_GHCR_TOKEN_OR_PAT \ --docker-email=you@example.com \ -n prod ຫຼັງຈາກນັ້ນໃນ ສໍາລັບ Proud: values.yaml imagePullSecrets: - name: ghcr-pull ການຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢັ້ງຢືນຢືນຢືນຢັນ ( ) ປະເພດ Kubernetes 13) Rollbacks, ຜູ້ທີ່ເຮັດສິ່ງທີ່, ແລະຄວາມໄວ້ວາງໃຈ "I am healthy?" ປະເພດຂອງລັກສະນະສາມາດຊ່ວຍໃຫ້ທ່ານ: ຫນ້າທໍາອິດ → helm history / rollback ທີ່ຜ່ານມາ: kubectl rollout undo/status ລະຫັດ QR # See release history managed by Helm helm history app -n prod # Roll back to the previous release helm rollback app 1 -n prod # Verify the Deployment converges kubectl rollout status deploy/app -n prod --timeout=180s ປະເພດ Helmet ອັດຕະໂນມັດ rolls back on failures during the upgrade. ໃນປັດຈຸບັນທ່ານຈະໄດ້ຮັບການຮັບປະກັນໂດຍບໍ່ໄດ້ຮັບການຮັບປະກັນໂດຍບໍ່ໄດ້ຮັບການຮັບປະກັນໂດຍບໍ່ໄດ້ຮັບການຮັບປະກັນໂດຍບໍ່ໄດ້ຮັບການຮັບປະກັນໂດຍບໍ່ໄດ້ຮັບການຮັບປະກັນໂດຍບໍ່ໄດ້ຮັບການຮັບປະກັນ. ( ຂໍຂອບໃຈ ) --atomic kubectl rollout status ລະຫັດ QR ປະເພດ Kubernetes 14) A reusable repo layout & a secrets checklist repo-root/ app/ # your code Dockerfile chart/ Chart.yaml values.yaml values-staging.yaml values-prod.yaml templates/ deployment.yaml service.yaml _helpers.tpl rbac/ deployer.yaml .github/workflows/ci.yml Secrets (GitHub → Settings → Secrets and variables → Actions): KUBECONFIG_DATA – base64 kubeconfig ສໍາລັບການຕິດຕັ້ງ helm-deployer ServiceAccount. GITHUB_TOKEN – auto-injected; sett workflow permissions: packages: write to push to GHCR (ນໍາໃຊ້ repo/org defaults ຫຼື YAML). (GitHub Docs) 15) Optional: ຄູ່ມືທີ່ແຕກຕ່າງກັນກັບ Kustomize ລະຫັດ QR ຂໍຂອບໃຈຫຼາຍກ່ວາ overlays without templating? ສ້າງຕັ້ງຂຶ້ນໃນ . ທໍ່ທໍ່ຂອງທ່ານຈະເປັນ: build → push → ລະຫັດ QR ມັນເປັນທີ່ດີທີ່ສຸດສໍາລັບການບໍລິການຫນຶ່ງ repos ແລະການປັບແຕ່ງຂະຫນາດນ້ອຍ; Helm ມີຄຸນນະສົມບັດທີ່ດີທີ່ສຸດໃນເວລາທີ່ທ່ານຕ້ອງການການຫຸ້ມຫໍ່ຫຼືລູກຄ້າຂອງທ່ານໄດ້ນໍາໃຊ້ຮູບພາບ. ( ) Kustomize kubectl kubectl apply -k overlays/prod kubectl rollout status Kubernetes Quick sketch: kustomize/ base/ deployment.yaml service.yaml kustomization.yaml overlays/ prod/ kustomization.yaml # patches image tag to $GIT_SHA 16) ສະຫນັບສະຫນູນ: ຊັ້ນເພີ່ມເຕີມຂອງ CI (ການທົດສອບ, concurrency, ການຄວບຄຸມ smoke) (Port-forward ສໍາລັບ 1 ຄໍາຖາມ): A tiny smoke check after deploy - name: Port-forward and smoke test run: | kubectl -n prod port-forward svc/app 8080:80 & PF_PID=$! sleep 3 curl -fsS http://127.0.0.1:8080/healthz | grep -q "ok" kill $PF_PID Digest pinning (even stricter than tags): # Check the pushed image's digest docker buildx imagetools inspect ghcr.io/${OWNER}/${REPO}/app:${GITHUB_SHA} # Then set in values-prod.yaml: # image: # repository: ghcr.io/${OWNER}/${REPO}/app # tag: "" # leave empty when using a digest # digest: "sha256:..." ຖ້າ ຫາກ ວ່າ ທ່ານ ຕ້ອງ ການ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປຸງ, ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປັບ ປຸງ: # values.yaml (allow either tag OR digest) image: repository: ghcr.io/your-org/your-repo/app tag: "CHANGE_ME" digest: "" # templates/deployment.yaml (image reference) image: "{{ .Values.image.repository }}{{- if .Values.image.digest -}}@{{ .Values.image.digest }}{{- else -}}:{{ .Values.image.tag }}{{- end }}" Kubernetes ຊອກຫາ ດາວນ໌ໂຫລດ The Best Friend ເປັນຫຍັງທ່ານໄດ້ສ້າງ ( ) @sha256: ຄຸນນະພາບ ປະເພດ Kubernetes ດາວໂຫລດ ປະເພດ ແລະລວມ QEMU ຖ້າຫາກວ່າຕ້ອງການ. Docker’s docs ສະແດງໃຫ້ເຫັນທັງສອງ. ( ) Multi-arch builds (if you need arm64): platforms: linux/amd64,linux/arm64 build-push-action ການຢັ້ງຢືນ Docker 17) ການຄຸ້ມຄອງ Kubernetes Deployments (Rolling update behavior & concepts). (Kubernetes) Rolling updates overview (tutorial). (Kubernetes) kubectl rollout status (command reference). (Kubernetes) Probes (living, readiness, startup). (Kubernetes) Images: tags, digests, and imagePullSecrets. (Kubernetes) RBAC authorization (official). (Kubernetes) Install kubectl and version skew note. (Kubernetes) ການປັບປຸງ helm ແລະ flags (--install, --wait, --atomic). (Helm) ການຕິດຕັ້ງ helm (CI script). (Helm) ໂຮງງານຜະລິດຂອງ Chart ແລະຄຸນນະພາບການເຊື່ອມຕໍ່ແລະວິທີການທີ່ດີທີ່ສຸດ. (Helm) GitHub Actions & GHCR Publishing Docker images with Actions. (GitHub Docs) ການນໍາໃຊ້ GITHUB_TOKEN ມີໃບອະນຸຍາດຂະຫນາດນ້ອຍ. (GitHub Docs) ການເຮັດວຽກທີ່ມີ registry Container (GHCR) ແລະ labels OCI. (GitHub Docs) Docker Official GitHub Actions: setup-buildx, login, build-push. (GitHub) Docker's CI guide for GitHub Actions. (Docker Documentation) Docker Multi-stage builds (why / how), ວິທີການທີ່ດີທີ່ສຸດ, multi-platform. ຊື່ຫຍໍ້ຂອງ : closing thoughts ນີ້ແມ່ນວິທີທີ່ຂ້າພະເຈົ້າຊອກຫາໃນເວລາທີ່ຜູ້ຊ່ຽວຊານຊອກຫາ: ມັນຂະຫຍາຍຕົວຈາກການບໍລິການຫນຶ່ງໃນຫຼາຍ, ແລະແຕ່ລະພາກສ່ວນຂອງມັນແມ່ນສາມາດສອບເສັງກັບຄົນທີ່ບໍ່ມີອຸປະກອນ: ພວກເຮົາມີຄວາມຕ້ອງການສໍາລັບການຕິດຕັ້ງທີ່ຖືກຕ້ອງໃນປັດຈຸບັນ, ບໍ່ວ່າຈະເປັນການສ້າງຕັ້ງຂຶ້ນໃນປັດຈຸບັນ. " One chart, one workflow, one registry ຮູບພາບທີ່ບໍ່ປ່ຽນແປງ (SHA tags ຫຼື digests), probes ທີ່ສະຫນັບສະຫນູນຄວາມປອດໄພຂອງ app ທີ່ແທ້ຈິງ, ແລະ rollouts ທີ່ຄາດຄະເນ. ການນໍາໃຊ້ໃບອະນຸຍາດ, ບໍ່ແມ່ນ cluster-admin. ການເຊື່ອມຕໍ່ ຖ້າຫາກວ່າທ່ານມີຄວາມສົນໃຈຂອງບົດຄວາມນີ້ແລະຕ້ອງການທີ່ຈະຊອກຫາຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບການພັດທະນາເວັບໄຊທ໌, ກະລຸນາຕິດຕໍ່ກັບຂ້າພະເຈົ້າກ່ຽວກັບຮູບເງົາຕ່າງໆ: ປະເພດ ຊື່ຫຍໍ້ຂອງ : hackernoon.com ດາວໂຫລດ Hashnode.com ອັດຕະໂນມັດ ດາວນ໌ໂຫລດ Instagram.com ຊື່ຫຍໍ້ຂອງ : Portfolio V1 ການທົບທວນຄືນແລະຄໍາຖາມຂອງທ່ານແມ່ນດີຕ້ອນຮັບ. ກະລຸນາອ່ານ, coding, ແລະສ້າງອີເມວທີ່ດີເລີດ.