Kubernetes 集成 Docker 最佳实践：CI/CD 流水线搭建指南

? 为什么要把 Kubernetes 和 Docker 集成到 CI/CD？

• 环境一致性：Docker 镜像确保应用在任何环境都能以相同方式运行，Kubernetes 保证部署的稳定性。
• 快速迭代：自动化流程让代码变更能快速上线，缩短发布周期。
• 高可用性：Kubernetes 的滚动更新和蓝绿部署策略，能在不中断服务的情况下完成升级。
• 可观测性：结合监控工具，能实时了解应用状态，快速定位问题。

?️ 搭建 CI/CD 流水线的核心工具

1. 代码仓库

2. CI/CD 工具

• Jenkins：老牌工具，插件丰富，支持各种编程语言和构建工具。可以通过 Pipeline 脚本定义流水线流程，比如构建 Docker 镜像、运行测试、部署到 Kubernetes 集群。
• GitLab CI/CD：与 GitLab 深度集成，配置简单，适合中小型团队。通过 .gitlab-ci.yml 文件就能定义流水线。
• Tekton：Kubernetes 原生的 CI/CD 框架，把流水线定义为 Kubernetes 资源，支持更灵活的定制。
• Argo CD：专注于 GitOps 模式，自动同步 Git 仓库中的配置到 Kubernetes 集群，适合持续部署。

3. 镜像仓库

• Docker Hub：公共仓库，适合开源项目。
• 私有仓库：如 Harbor、GitLab Container Registry，安全性更高，适合企业内部使用。

4. Kubernetes 部署工具

• Helm：Kubernetes 的包管理工具，把复杂的应用配置打包成 Chart，方便部署和版本管理。
• Kustomize：通过补丁和叠加的方式管理 Kubernetes 配置，适合多环境部署。

? 搭建 CI/CD 流水线的具体步骤

1. 环境准备

• 安装 Jenkins：可以用 Docker 快速启动一个 Jenkins 实例。
• 配置 Kubernetes 集群：确保 Jenkins 能访问到你的 Kubernetes 集群，比如通过 kubectl 配置认证信息。
• 安装 Helm：在 Jenkins 服务器上安装 Helm，用于部署应用到 Kubernetes 集群。

2. 编写 Dockerfile

FROM node:14
WORKDIR /usr/src/app
COPY package*.json ./
RUN npm install
COPY . .
EXPOSE 8080
CMD ["node", "app.js"]

3. 编写 Jenkinsfile

pipeline {
    agent any
    stages {
        stage('Build') {
            steps {
                sh 'docker build -t my-app .'
                sh 'docker tag my-app:latest registry.example.com/my-app:latest'
                sh 'docker login -u $DOCKER_USER -p $DOCKER_PASSWORD registry.example.com'
                sh 'docker push registry.example.com/my-app:latest'
            }
        }
        stage('Test') {
            steps {
                sh 'docker run --rm my-app npm test'
            }
        }
        stage('Deploy') {
            steps {
                sh 'helm upgrade --install my-app ./helm-chart --set image.tag=latest'
            }
        }
    }
}

• Build 阶段：构建 Docker 镜像，推送到私有仓库。
• Test 阶段：运行单元测试和集成测试。
• Deploy 阶段：使用 Helm 部署应用到 Kubernetes 集群。

4. 配置 Helm Chart

image:
  repository: registry.example.com/my-app
  tag: latest
replicas: 
service:
  port: 

5. 触发流水线

? 部署策略：蓝绿部署 vs 滚动更新

1. 蓝绿部署

• 部署新版本（绿色环境）：在 Kubernetes 中创建一个新的 Deployment，使用新版本的镜像。
• 切换流量：通过修改 Service 的 selector，将流量从旧版本（蓝色环境）切换到新版本（绿色环境）。
• 回滚：如果新版本出现问题，只需切换回旧版本的 selector 即可快速回滚。

2. 滚动更新

? 监控与回滚

1. 监控工具

• Prometheus：用于收集应用和 Kubernetes 集群的指标数据。
• Grafana：可视化监控数据，创建仪表盘。
• Prometheus Operator：简化 Prometheus 在 Kubernetes 中的部署和管理。

livenessProbe:
  httpGet:
    path: /health
    port: 
  initialDelaySeconds: 
  periodSeconds: 
readinessProbe:
  httpGet:
    path: /health
    port: 
  initialDelaySeconds: 
  periodSeconds: 

2. 回滚策略

kubectl rollout undo deployment/my-app

? 安全策略

1. 镜像安全

• 使用签名镜像：通过 Cosign 对镜像进行签名，确保镜像来源可信。
• 扫描镜像漏洞：使用 Clair、Trivy 等工具扫描镜像中的漏洞。
• 避免使用 latest 标签：使用语义化版本号或 commit 哈希作为标签，确保每次部署的镜像版本唯一。

2. 权限管理

• 最小权限原则：为 CI/CD 工具分配独立的 Kubernetes Service Account，限制其权限。
• 密钥管理：使用 Kubernetes Secrets 存储敏感信息，如数据库密码、API 密钥等。
• 代码审查：对提交的代码和配置文件进行审查，避免恶意代码或配置错误。

3. 网络安全

• 网络策略：使用 Cilium NetworkPolicy 实施微隔离，限制 Pod 之间的通信。
• HTTPS 通信：确保镜像仓库和 Kubernetes API 服务器使用 HTTPS 通信，防止中间人攻击。

? 总结