Container Service for Kubernetes:ベストプラクティスの概要

仕組み

このパイプラインでは、以下の 2 つの役割間で責任が分離されています。

• 開発チーム — コードをコミットし、Dev 環境へのデプロイをモニターし、ステージングおよび本番環境へのリリース承認を行います。

• 運用・保守（O&M）チーム — CI パイプラインおよびフィルタールールを設定し、Container Registry Enterprise Edition とパイプラインを関連付け、ステージングおよび本番環境へのカナリアリリースをトリガーします。

パイプラインの実行手順は以下のとおりです。

1. O&M チームがビジネスコードリポジトリおよびデプロイメントリポジトリを準備し、ACK One GitOps を有効化して CI パイプラインを設定します。

2. 開発チームがビジネスコードリポジトリにコードをコミットします。

3. Container Registry Enterprise Edition が新しいコンテナイメージをビルドし、イメージリポジトリへプッシュします。

4. ACK One GitOps のイメージアップデーターが新しいイメージタグを検出し、それをデプロイメントリポジトリへ書き戻します。

5. Argo CD がデプロイメントリポジトリ内の YAML 変更を検出し、自動的に Dev クラスターへ新しいイメージをデプロイします。ステージングクラスターが自動アプリケーション同期機能を有効化している場合、ACK One GitOps が自動的にイメージバージョンを更新します。

6. 開発チームが Dev 環境でアプリケーションの動作を検証します。

7. O&M チームが Argo Rollouts または Kruise Rollout を使用して、ステージングおよび本番環境へカナリアリリースによるリリースを実行します。

各環境におけるイメージ更新の取り扱い：

基本概念

GitOps

GitOps では、Git リポジトリをアプリケーションデプロイの唯一の信頼される情報源（Single Source of Truth）として使用します。Argo CD は Git リポジトリを継続的に監視し、クラスターの状態を宣言された構成と一致させるように同期します。

GitOps は Kubernetes デプロイメントに以下の 4 つの主要な利点をもたらします。

• 学習コストの低さ — Git は学びやすく、既存のワークフローへの統合も容易です。

• バージョン管理と監査 — すべてのデプロイメント変更は Git コミットとして記録され、完全な監査証跡が確保され、ワンクリックでのロールバックが可能です。

• セキュリティ — 開発者は Kubernetes クラスターへの直接アクセス権限を必要とせず、Git リポジトリへのアクセス権限のみで十分です。

• 継続的デプロイメント — Argo CD が Git とクラスターの状態を自動的に整合させるため、手動による kubectl apply 手順が不要になります。

ACK One GitOps

ACK One Fleet は、ホスト型のオープンソース Argo CD を活用した GitOps ベースの継続的デリバリーを実現します。ホスト型モデルにより、Argo CD のインストールおよびアップグレードに関するオーバーヘッドが解消されます。

ACK One GitOps が提供する主な機能は以下のとおりです。

• Alibaba Cloud アカウントで直接利用可能なホスト型 Argo CD コンソールおよび CLI — 追加の設定は不要です。

• Argo CD コンソール経由の統合シングルサインオン（SSO）およびマルチユーザー権限管理。

• ACK One Fleet インスタンスに関連付けられたすべてのクラスターに対する Argo CD の自動有効化。

• マルチクラスター向けアプリケーションディストリビューションのための ApplicationSet 対応。

Argo CD は Cloud Native Computing Foundation（CNCF）が主導するオープンソースプロジェクトです。Argo CD の詳細については、「Argo CD とは？」をご参照ください。

ステップ 1：デプロイメントリポジトリの構造を確認

パイプラインの設定を開始する前に、参考となるデプロイメントリポジトリの構造を確認してください。詳細については、「ACK One GitOps を基盤としたサンプルアプリケーションの紹介」をご参照ください。

ステップ 2：ACK One GitOps の有効化とログイン

ACK One コンソールまたは CLI を使用して、GitOps を有効化し、ログインします。

ステップ 3：イメージ CI パイプラインの構築

ご利用のインフラストラクチャに合った方法を選択してください。

ステップ 4：ACK One GitOps を使用したアプリケーションのデプロイ

GitOps を有効化した後は、Argo CD コンソールまたは CLI を使用してアプリケーションをデプロイおよび管理します。ApplicationSets を使用すると、単一の操作で複数のクラスターに同一アプリケーションを展開できます。

詳細については、「ACK One GitOps を使用したアプリケーションのデプロイ」をご参照ください。

ステップ 5：イメージアップデーターによる継続的デリバリーの自動化

イメージアップデーターは、CI パイプラインとデプロイメントリポジトリの間のフィードバックループを閉じます。

1. CI パイプラインが Container Registry Enterprise Edition へ新しいイメージをビルド・プッシュします。

2. イメージアップデーターが、設定済みのフィルタールールに一致する新しいタグを検出します。

3. イメージアップデーターが新しいタグをデプロイメントリポジトリへ書き戻します。

4. Argo CD が YAML の変更を検出し、Sync 操作を実行して更新済みイメージをデプロイします。

これにより、デプロイメントリポジトリの手動編集を伴わずに、コードコミットから実行中のコンテナに至るまでのエンドツーエンドのデプロイメントをトリガーできます。

デプロイメントリポジトリを直接更新することも可能です（例：YAML 内のイメージタグを手動で編集）。その場合、Argo CD が変更を監視し、イメージアップデーターを経由せずにデプロイを実行します。

詳細については、「ACK One GitOps および Container Registry を使用した CI/CD パイプラインの構築」をご参照ください。

ステップ 6：ステージングおよび本番環境へのカナリアリリースの実行

ステージングおよび本番環境では、直接的なイメージ交換ではなく、手動トリガーとカナリアリリース戦略を採用する必要があります。これにより、破損したイメージが本番規模のトラフィックに影響を及ぼすリスクを防止できます。

詳細については、「ACK One GitOps および Argo Rollouts を使用したカナリアリリースの実行」および「ACK One GitOps を基盤とした Kruise Rollout を使用したカナリアリリースの実装」をご参照ください。

ステップ 7：アプリケーションのロールバック

リリースによってインシデントが発生した場合、以下のいずれかの方法でロールバックを実行します。

# 最新のコミットを復元
git revert HEAD

# 複数の連続したコミットを復元する場合：
# git revert HEAD~3..HEAD

# 非連続した特定のコミットを復元する場合：
# git revert <commit-id-1> <commit-id-2> ... <commit-id-n>

# CI/CD パイプラインを起動するためにプッシュ
git push origin HEAD:${branch}

ステップ 8：ユーザー権限の管理

Argo CD の権限モデルでは、プロジェクトレベルでアプリケーション、クラスター、リポジトリなど特定のリソースへのアクセスを付与または制限できます。以下のポリシーテンプレートを使用します。

p, <user/group>, <resource>, <action>, <project>/<object>

サポートされる操作： create、update、delete、get。

詳細については、「ACK One GitOps のマルチテナント権限の設定」をご参照ください。

次のステップ

このパイプラインの設定を完了した後は、以下の関連トピックをご参照ください。

• ACK One GitOps に基づいてデプロイされたサンプルアプリケーションの概要

• ACK One GitOps を使用してアプリケーションをデプロイする

• ACK One GitOps および Container Registry を使用して CI/CD パイプラインを構築する

• ACK One GitOps および Argo Rollouts を使用したカナリアリリースの実行

• ACK One GitOps のマルチテナント権限の設定