Alibaba Cloud DevOps:VPC Ortamında CI/CD Uygulama

1,1 Ar-Ge Varlıkları

Tam kapsamlı bir CI/CD akışı, bir dizi Ar-Ge varlığı etrafında döner. Yaygın Ar-Ge varlıkları şunlardır:

1,2 Ar-Ge Akışı

Bu varlıklar, bir dizi işlem aracılığıyla tam bir CI/CD akışına bağlanır. Akış hem başlangıç hem de bitiş açısından derleme kümesi ve Flow arasında gerçekleşir: Derleme kümesi Flow'dan derleme işini alır (①). Akış sona erdiğinde, derleme kümesi çalıştırma sonuçlarını tekrar Flow'a senkronize eder (⑩).

Derleme kümesi işi aldıktan sonra, kodları depodan klonlar (②) ve derleme makinesinde derlemeyi tamamlar. Derleme sırasında, bağımlılık paketlerini yapıt deposundan çeker (③). Derleme başarılı olduktan sonra, akış dağıtım türüne göre dallanır. Ana bilgisayar dağıtımı için derleme çıktısı yapıt deposuna yüklenir (④). Kubernetes dağıtımı için derleme çıktısı (bir görüntü) görüntü deposuna itilir (⑤).

Dağıtım aşaması da iki yola ayrılır:

• Ana bilgisayar dağıtımı: Flow Runner, ana bilgisayar kümesine önceden yüklenir ve otomatik olarak Flow'dan dağıtım işini alır (⑥), ardından yapıt paketini yapıt deposundan indirir (⑦). Runner, sürümü tamamlamak için ana bilgisayarda dağıtım komutlarını çalıştırır.

• Kubernetes dağıtımı: Derleme makinesi dağıtım komutlarını Kubernetes kümesine gönderir (⑧). Kubernetes kümesi daha sonra görüntüyü görüntü deposundan çeker (⑨) ve dağıtımı tamamlar.

2,1 Temel Ar-Ge Varlıkları İnternete Açılmamalıdır

Depolar, yapıt depoları, görüntü depoları, Kubernetes kümeleri ve ana bilgisayar kümeleri gibi Ar-Ge varlıkları, bir kuruluşun en kritik kodlarını ve iş sistemlerini taşır. Bunların İnternete açılması (genel uç noktalar açılarak veya IP adresi izin listeleri kötü yönetilerek) saldırı yüzeyini genişletir: Kaynak kodlar ve yapıtlar çekilebilir ve tahrif edilebilir; Kubernetes API Sunucusu ve ana bilgisayarlar kaba kuvvet saldırılarına maruz kalabilir. Bu nedenle temel gereksiniminiz şudur: Ar-Ge varlıkları İnternete açılmamalı ve yalnızca VPC içinden erişilebilir olmalıdır — varlıklar yalnızca özel adreslere sahiptir ve İnternet tarafından ya görünmezler ya da yalnızca minimum gerekli kontrollü giriş noktalarını sunarlar.

2,2 Ar-Ge Akışını VPC İçinde Çalıştırın

Varlıkları izole etmek tek başına yeterli değildir. Bu akışları çalıştıran derleme makineleri ve ana bilgisayarlardaki Runner'lar İnternet tarafında bulunursa, her kod klonlama, görüntü itme, dağıtım komutu, iş alma ve yapıt indirme işlemi VPC'den çıkıp geri gelmek zorunda kalır. Trafik İnternet üzerinden dolanır ve önceki izolasyon çoğu değerini kaybeder. Tam gereksinim şudur: Ar-Ge varlıkları arasındaki akışlar da mümkün olduğunca VPC içinde kalmalı ve İnternet üzerinden geçmemelidir — sadece hedef varlıkların VPC'de olması değil, akışları başlatan derleme hesaplama kaynaklarının da VPC'ye girmesi ve varlıklarla aynı dahili ağı paylaşması gerekir.

2,3 Derleme Kümesi, CI/CD Çözümünün Merkezidir

Bu iki gereksinimi Bölüm 1'deki ilişki diyagramına eşleyelim. Derleme kümesi her Ar-Ge akışını başlatır ve çalıştırır, bu nedenle çözüm tasarımında iki temel sorunun cevabını belirler:

1. Derleme kümesinin ağ konumu: Derleme kümesi İnternet üzerinde mi (Alibaba Cloud DevOps ağı), yoksa kullanıcı VPC'si içinde mi bulunur? Cevap, Ar-Ge akışının VPC içinde çalıştırılma gereksiniminin karşılanıp karşılanamayacağını belirler.

2. Derleme kümesinin Ar-Ge varlıklarına bağlantısı: Derleme kümesi ile depolar, yapıt depoları, görüntü depoları, Kubernetes kümeleri ve ana bilgisayar kümeleri gibi Ar-Ge varlıkları arasındaki her bağlantı İnternet üzerinden mi, yoksa VPC dahili ağı üzerinden mi gerçekleşir?

   Sonraki bölümde, Alibaba Cloud DevOps'un bu iki soruya dayalı olarak sunduğu iki derleme kümesi seçeneği açıklanmaktadır.

3,1 Alibaba Cloud DevOps Varsayılan Derleme Kümesi

Alibaba Cloud DevOps varsayılan derleme kümesi Alibaba Cloud DevOps ağ kaynaklarını kullanır. Derleme makineleri Alibaba Cloud DevOps tarafında çalışır ve Ar-Ge varlıklarına (depolar, yapıt depoları ve görüntü depoları) yalnızca İnternet üzerinden bağlanabilir. Ana bilgisayar dağıtımları için, ana bilgisayar kümesindeki Runner, dağıtım işlerini Flow'dan alır ve yapıtları Packages üzerinden İnternet ile indirir.

• Avantajlar: Kullanıma hazır ve basit işletim. Kendi makinelerinizi hazırlamanız gerekmez ve ağ kaynakları için ek ücret ödemezsiniz.

• Sınırlamalar: Tüm bağlantılar İnternet üzerinden gerçekleşir. Ar-Ge varlıklarının İnternet'ten erişilebilen uç noktaları açması gerekir; kod klonlama, görüntü itme ve yapıt indirme gibi akışlar da İnternet üzerinden dolanır.

  Bu seçenek, tüm hedef kaynaklara genel uç noktalar aracılığıyla güvenli şekilde erişilebildiği ve sıfır bakım ile hızlı başlamak istediğiniz senaryolar için uygundur.

3,2 Kullanıcı VPC Derleme Kümesi

Kullanıcı VPC derleme kümesi kendi VPC ağ kaynaklarınızı kullanır. Derleme makineleri VPC'nize zamanlanır ve iş yükü kaynaklarınızla aynı dahili ağı paylaşır. Tüm Ar-Ge varlıklarınıza (görüntü depoları, Kubernetes kümeleri, depolar ve yapıt depoları) VPC dahili ağı üzerinden bağlanabilirler. Ana bilgisayar dağıtımları için, ana bilgisayar kümesindeki Runner dağıtım işlerini ve yapıtları alır.

• Avantajlar: Ar-Ge varlıklarının İnternete açılması gerekmez ve derleme akışı VPC içinde tamamlanabilir. Bağlantılar daha kısa ve daha güvenlidir, gecikme süresi daha düşüktür.

• Ödünleşimler: Yapılandırma daha karmaşıktır. Bir VPC ilişkilendirmeniz, güvenlik gruplarını ve rotaları planlamanız gerekir; ayrıca kullandığınız kullanıcı tarafı ağ kaynakları (VPC'ler, vSwitch'ler ve NAT Ağ Geçitleri) için ek ücretler ödemeniz gerekir. Ayrıca, kurumsal işbirliği modundaki bölgesel kuruluşlar tarafından yalnızca VPC alan adı üzerinden dahili ağdan Alibaba Cloud DevOps sitesine erişim desteklenir. Bu seçeneği seçmeden önce kuruluş türünüzün ve işbirliği modunuzun bu gereksinimi karşıladığını doğrulayın.

  Bu seçenek; ağ izolasyonu, uyumluluk veya gecikme süresi konusunda katı gereksinimleri olan veya Ar-Ge varlıklarına yalnızca dahili ağdan erişilebilen senaryolar için uygundur.

4,1 Adım 1: VPC Derleme Kümesi Oluşturun

Flow'da Derleme Kümeleri yönetim sayfasına gidin. Bir derleme kümesi oluşturun, türünü VPC Derleme Kümesi olarak ayarlayın ve aşağıdaki temel yapılandırmaları tamamlayın:

1. Temel bilgiler: Derleme kümesi için bir isim girin. Derleme kümesi ID'si sistem tarafından otomatik olarak oluşturulur. Daha sonra kullanmak üzere kopyalayın.

2. Kullanıcı VPC'si ve güvenlik grubu ilişkilendirin: Derleme makinelerinin dağıtıldığı kullanıcı VPC'sini (ve vSwitch'i) seçin ve bir güvenlik grubu bağlayın. Güvenlik grubu, derleme makineleri ile hedefler (Alibaba Cloud DevOps sitesi, ACR ve ACK gibi) arasındaki gerekli giden bağlantı noktalarına izin vermelidir. ACR veya ACK için erişim kontrolü etkinleştirildiyse, izin listesini bu güvenlik grubuna veya VPC CIDR bloğuna yönlendirin.

3. Erişim noktası seçin: VPC derleme kümesi ile Alibaba Cloud DevOps sitesi arasındaki iş dağıtımı ve sonuç raporlama bir erişim noktası üzerinden gerçekleşir. Kullanılan Alibaba Cloud DevOps kuruluşunun türüne ve seçtiğiniz alan adına bağlı olarak üç durum vardır.

   Erişim noktası seçerken kuruluş türüyle başlayın. Merkezi bir kuruluş yalnızca genel ağ erişimini destekler (durum 1). Bölgesel bir kuruluş hem genel ağ erişimini hem de VPC özel erişimini destekler (durum 2 ve durum 3); VPC erişim özelliği kurumsal işbirliği moduna aittir. Güvenlik için öncelikle VPC alan adını seçin: Trafik İnternet üzerinden geçmez ve güvenlik grubu izin listesini IP adresine göre daraltabilirsiniz. İkinci olarak genel alan adını seçin. Merkezi bir kuruluşta yalnızca genel alan adı bulunduğundan seçim yapılması gerekmez.

4,2 Adım 2: Alibaba Cloud DevOps Sitesine Bağlantıyı Doğrulayın

Kümeyi oluşturduktan ve VPC tarafındaki ağ yapılandırmasını tamamladıktan sonra, bağlantıyı minimal bir işlem hattı ile doğrulayın:

1. İşlem hattı oluşturun. Çalışma zamanı derleme kümesi olarak, 1. adımda oluşturduğunuz VPC derleme kümesini seçin.

2. İşlem hattı kaynaklarını yapılandırın: Bir Codeup deposu ve bir Packages yazılım deposu ekleyin.

   • Codeup genellikle codeup-demo adlı bir örnek depo sağlar. Doğrudan seçin.

   • Packages yazılım deposunda varsayılan olarak hiçbir yapıt dosyası bulunmaz. Önce herhangi bir dosya yükleyin ki işlem hattı kaynağının indirilecek içeriği olsun.

3. İşe bir Alibaba Cloud DevOps çalıştırma komutu adımı ekleyin: Kendi doğrulama komutlarınızı yazmanıza gerek yoktur. Hatta boş bir komut bile olsa, işlem hattı çalıştırıldığında işlem hattı kaynaklarını otomatik olarak indirir (depo ve yapıt deposunun içeriği). Bu adım başarılı olursa, hem kod klonlama bağlantısı hem de yapıt indirme bağlantısı çalışır.

   İşlem hattını çalıştırın. Ağ sorunlarını çalıştırma günlüklerinden hızla tespit edebilirsiniz:

İşlem hattı çalışırsa, VPC derleme kümesi ile Alibaba Cloud DevOps sitesi arasındaki tüm bağlantılar kullanılabilir durumdadır: iş alma, kod klonlama ve yapıt çekme. Başarısız olursa, etkilenen bağlantıyı tespit etmek için yukarıdaki tabloyu kullanın ve ardından erişim noktası ve güvenlik grubu yapılandırmalarını kontrol etmek için 1. adıma dönün.

4,3 Adım 3: ACR ve ACK Bağlantılarını Doğrulayın

Dağıtım tarafı bağlantılarını doğrulamak için 2. adımdaki işlem hattına iki adım daha ekleyin. Yine, kendi komutlarınızı yazmanıza gerek yoktur. Alibaba Cloud DevOps'un yerleşik işlem hattı adımlarını seçin:

1. ACR bağlantısını doğrulayın: Docker login ACR işlem hattı adımını ekleyin, ACR için hizmet bağlantısını seçin ve görüntü deposunun adresini girin. ACR'nin genel adresi yerine VPC erişim adresini (VPC alan adı) girin. Adım başarılı olursa, derleme makinesi ACR'ye VPC dahili ağı üzerinden erişebilir ve görüntü itme bağlantısı kullanılabilir durumdadır.

2. ACK bağlantısını doğrulayın: Kubectl Deploy işlem hattı adımını ekleyin ve hedef Kubernetes kümesini (ACK) seçin. Bu adımı kullanmadan önce, dağıtmak istediğiniz YAML dosyasını depoya yükleyin (örneğin deployment.yaml), ardından adım yapılandırmasında YAML dosyasının depodaki göreceli yolunu girin. Adım başarılı olursa, derleme makinesi ACK API Sunucusuna VPC dahili ağı üzerinden erişebilir ve sürümü tamamlayabilir; kubectl dağıtım bağlantısı kullanılabilir durumdadır.

   Bir adım başarısız olursa, sorunu tespit etmek için aşağıdaki tabloyu kullanın:

Her iki adım da başarılı olursa, tüm derleme ve dağıtım akışının ağ bağlantısı doğrulanmış olur. Gerçek derleme işlerinizi ve dağıtım işlerinizi bu VPC derleme kümesinde çalışacak şekilde geçirebilirsiniz.