4장. 파이프라인

이번 업데이트에서는 TaskRun 및 PipelineRun 리소스의 기본 지표 수준을 다음 값으로 변경합니다.

apiVersion: v1
kind: ConfigMap
metadata:
  name: config-observability
  namespace: tekton-pipelines
  labels:
    app.kubernetes.io/instance: default
    app.kubernetes.io/part-of: tekton-pipelines
data:
  _example: |
  ...
    metrics.taskrun.level: "task"
    metrics.taskrun.duration-type: "histogram"
    metrics.pipelinerun.level: "pipeline"
    metrics.pipelinerun.duration-type: "histogram"

Red Hat OpenShift Pipelines 1.7.x는 코드 0.5.x로 파이프라인과 함께 제공됩니다. 현재 업데이트는 Code 0.10.x로 Pipeline과 함께 제공됩니다. 이 변경으로 인해 새 컨트롤러의 openshift-pipelines 네임스페이스에 새 경로가 생성됩니다. 파이프라인을 코드로 사용하는 GitHub 앱 또는 Webhook에서 이 경로를 업데이트해야 합니다. 경로를 가져오려면 다음 명령을 사용합니다.

$ oc get route -n openshift-pipelines pipelines-as-code-controller \
  --template='https://{{ .spec.host }}'

이번 업데이트를 통해 코드로 Pipeline은 tkn-pac CLI 툴에서 다음 명령을 업데이트합니다.

OpenShift Container Platform 4.11부터 Red Hat OpenShift Pipelines Operator를 설치하고 업그레이드하기 위한 프리뷰 및 안정적인 채널이 제거됩니다. Operator를 설치하고 업그레이드하려면 적절한 pipelines-<version > 채널 또는 최신 안정 버전에 최신 채널을 사용합니다. 예를 들어 Pipelines Operator 버전 1.8.x 를 설치하려면 pipelines-1.8 채널을 사용합니다.

Red Hat OpenShift Pipelines GA 1.6에서 더 이상 사용되지 않는 tekton.dev/v1alpha1 API 버전에 대한 지원은 향후 Red Hat OpenShift Pipelines GA 1.9 릴리스에서 제거될 예정입니다.

이러한 변경은 TaskRun,PipelineRun,Task,Pipeline, 유사한 tekton.dev/v1alpha1 리소스가 포함된 파이프라인 구성 요소에 영향을 미칩니다. 또는 Tekton v1 alpha1에서 Tekton v1beta1으로 마이그레이션에 설명된 대로 apiVersion: tekton.dev/v1beta1 을 사용하도록 기존 리소스를 업데이트합니다.

tekton.dev/v1alpha1 API 버전에 대한 버그 수정 및 지원은 현재 GA 1.8 라이프 사이클이 끝날 때만 제공됩니다.

Red Hat OpenShift Pipelines 1.8에서는 pipelineRunCancelled 상태가 더 이상 사용되지 않으며 향후 릴리스에서 제거될 예정입니다. 이제 PipelineRun 오브젝트의 정상 종료가 알파 기능에서 안정적인 기능으로 승격되었습니다. ( TEP-0058: graceful Pipeline Run Termination.)을 참조하십시오. 또는 pipelineRun Cancelled 상태를 대체하는 Cancelled 상태를 사용할 수 있습니다.

Pipeline 및 Task 리소스를 변경할 필요가 없습니다. 파이프라인 실행을 취소하는 도구가 있는 경우 다음 릴리스에서 툴을 업데이트해야 합니다. 이러한 변경 사항은 CLI, IDE 확장 등과 같은 툴에도 영향을 미치므로 새로운 PipelineRun 상태를 지원합니다.

이 기능은 기본적으로 사용 가능하므로 TektonConfig 사용자 정의 리소스 정의에서 pipeline.enable-api-fields 필드를 alpha 로 설정할 필요가 없습니다.

Red Hat OpenShift Pipelines 1.8에서 PipelineRun 의 timeout 필드가 더 이상 사용되지 않습니다. 대신 알파 기능에서 안정적인 기능으로 승격되는 PipelineRun.Timeouts 필드를 사용합니다.

이 기능은 기본적으로 사용 가능하므로 TektonConfig 사용자 정의 리소스 정의에서 pipeline.enable-api-fields 필드를 alpha 로 설정할 필요가 없습니다.

s2i-nodejs 파이프라인은 nodejs:14-ubi8-minimal 이미지 스트림을 사용하여 S2I(Source-to-Image) 빌드를 수행할 수 없습니다. 해당 이미지 스트림을 사용하면 STEP "RUN /usr/libexec/s2i/assemble": 종료 상태 127 메시지에서 오류 빌드 가 생성됩니다.

해결방법: nodejs:14-ubi8-minimal 이미지 스트림 대신 nodejs:14-ubi8 을 사용합니다.

Maven 및 Jib-Maven 클러스터 작업을 실행할 때 기본 컨테이너 이미지는 Intel (x86) 아키텍처에서만 지원됩니다. 따라서 ARM, IBM Power Systems(ppc64le), IBM Z 및 LinuxONE(s390x) 클러스터에서 작업이 실패합니다.

해결방법: MAVEN_IMAGE 매개변수 값을 maven:3.6.3-adoptopenjdk-11 으로 설정하여 사용자 정의 이미지를 지정합니다.

이번 업데이트 이전에는 $params["< NAME >"]의 <NAME > 또는 $params['<NAME>'] 에 점 문자(.. )가 포함된 경우 점 오른쪽에 있는 이름의 일부가 추출되지 않았습니다. 예를 들어 $params["org.ipsum.lorem"] 에서 org 만 추출되었습니다.

이번 업데이트에서는 $params 가 전체 값을 가져오도록 문제가 해결되었습니다. 예를 들어 $params["org.ipsum.lorem"] 및 $params['org.ipsum.lorem'] 은 유효하며 전체 값은 < NAME > , org.ipsum.lorem, 추출됩니다.

< NAME >이 작은따옴표 또는 이중 따옴표로 묶이지 않은 경우에도 오류가 발생합니다. 예를 들어 $params.org.ipsum.lorem 은 유효하지 않으며 검증 오류를 생성합니다.

이번 업데이트 이전에는 OpenShift Container Platform 4.9 및 4.10에 Red Hat OpenShift Pipelines Operator를 설치할 수 없으므로 역할 바인딩이 유효하지 않아 다음과 같은 오류 메시지가 표시됩니다.

error updating rolebinding openshift-operators-prometheus-k8s-read-binding: RoleBinding.rbac.authorization.k8s.io
"openshift-operators-prometheus-k8s-read-binding" is invalid:
roleRef: Invalid value: rbac.RoleRef{APIGroup:"rbac.authorization.k8s.io", Kind:"Role", Name:"openshift-operator-read"}: cannot change roleRef

이번 업데이트에서는 오류가 더 이상 발생하지 않도록 문제가 해결되었습니다.

이전 버전에서는 리소스 정리기를 사용하면 각 네임스페이스 Operator에서 별도의 컨테이너에서 실행된 명령을 생성했습니다. 이 설계에서는 네임스페이스 수가 많은 클러스터에서 너무 많은 리소스를 소비했습니다. 예를 들어 단일 명령을 실행하려면 네임스페이스가 1000개인 클러스터가 한 Pod에 1000개의 컨테이너를 생성합니다.

이번 업데이트에서는 이 문제가 해결되었습니다. 모든 명령이 루프에서 하나의 컨테이너에서 실행되도록 네임스페이스 기반 구성을 작업에 전달합니다.

이번 업데이트 이전에는 모든 S2I 빌드 작업이 다음 메시지와 유사한 오류로 실패했습니다.

Error: error writing "0 0 4294967295\n" to /proc/22/uid_map: write /proc/22/uid_map: operation not permitted
time="2022-03-04T09:47:57Z" level=error msg="error writing \"0 0 4294967295\\n\" to /proc/22/uid_map: write /proc/22/uid_map: operation not permitted"
time="2022-03-04T09:47:57Z" level=error msg="(unable to determine exit status)"

이번 업데이트를 통해 pipelines-scc SCC(보안 컨텍스트 제약 조건)는 Buildah 및 S2I 클러스터 작업에 필요한 SETFCAP 기능과 호환됩니다. 결과적으로 Buildah 및 S2I 빌드 작업이 성공적으로 실행될 수 있습니다.

다양한 언어 및 프레임워크로 작성된 애플리케이션에 대해 Buildah 클러스터 작업 및 S2I 빌드 작업을 성공적으로 실행하려면 build 및 push 와 같은 적절한 단계 오브젝트에 대해 다음 스니펫을 추가합니다.

securityContext:
  capabilities:
    add: ["SETFCAP"]

Maven 및 Jib-Maven 클러스터 작업을 실행할 때 기본 컨테이너 이미지는 Intel (x86) 아키텍처에서만 지원됩니다. 따라서 ARM, IBM Power Systems(ppc64le), IBM Z 및 LinuxONE(s390x) 클러스터에서 작업이 실패합니다. 이 문제를 해결하려면 MAVEN_IMAGE 매개변수 값을 maven:3.6.3-adoptopenjdk-11 로 설정하여 사용자 정의 이미지를 지정할 수 있습니다.

다음 오류가 생성되므로 nodejs:14-ubi8-minimal 이미지 스트림을 사용할 수 없습니다.

STEP 7: RUN /usr/libexec/s2i/assemble
/bin/sh: /usr/libexec/s2i/assemble: No such file or directory
subprocess exited with status 127
subprocess exited with status 127
error building at STEP "RUN /usr/libexec/s2i/assemble": exit status 127
time="2021-11-04T13:05:26Z" level=error msg="exit status 127"

이번 업데이트에서는 v1beta1 Go API 유형이 추가되었습니다. 이번 업데이트를 통해 트리거는 이제 v1beta1 API 버전을 지원합니다.

현재 릴리스에서는 v1alpha1 기능이 더 이상 사용되지 않으며 향후 릴리스에서 제거됩니다. 대신 v1beta1 기능을 사용합니다.

현재 릴리스에서는 리소스의 자동 실행이 기본적으로 활성화되어 있습니다. 또한 다음 새 주석을 사용하여 각 네임스페이스에 대해 작업 실행 및 파이프라인 실행 자동 실행을 구성할 수 있습니다.

다음 알파 기능이 도입되었습니다.

현재 릴리스에서는 TektonConfig CR(사용자 정의 리소스)에서 nodeSelector 및 허용 오차 값을 지정하여 노드 선택을 구성할 수 있습니다. Operator는 이러한 값을 생성하는 모든 배포에 추가합니다.

Tekton Triggers v0.16.0에서는 EventListener 리소스에 대한 지표에서 중복 상태 레이블이 제거됩니다.

현재 릴리스에서는 EventListener 리소스에서 트리거가 처리를 완료하기 전에 응답을 보냅니다.

현재 릴리스에서는 EventListener 리소스에서 podTemplate 필드를 제거합니다.

현재 릴리스에서는 EventListener 리소스의 사양에서 더 이상 사용되지 않는 복제본 필드를 제거합니다.

Red Hat OpenShift Pipelines 1.6에서 HOME="/tekton/home" 및 workingDir="/workspace" 의 값은 Step 오브젝트의 사양에서 제거됩니다.

대신 Red Hat OpenShift Pipelines는 Step 오브젝트를 실행하는 컨테이너에서 정의한 값으로 HOME 및 workingDir 을 설정합니다. Step 오브젝트의 사양에 따라 이러한 값을 재정의할 수 있습니다.

이전 동작을 사용하려면 TektonConfig CR의 disable-working-directory-overwrite 및 disable-home-env-overwrite 필드를 false 로 변경할 수 있습니다.

apiVersion: operator.tekton.dev/v1alpha1
  kind: TektonConfig
  metadata:
    name: config
  spec:
    pipeline:
      disable-working-directory-overwrite: false
      disable-home-env-overwrite: false
  ...

다음 오류가 생성되므로 nodejs:14-ubi8-minimal 이미지 스트림을 사용할 수 없습니다.

STEP 7: RUN /usr/libexec/s2i/assemble
/bin/sh: /usr/libexec/s2i/assemble: No such file or directory
subprocess exited with status 127
subprocess exited with status 127
error building at STEP "RUN /usr/libexec/s2i/assemble": exit status 127
time="2021-11-04T13:05:26Z" level=error msg="exit status 127"

대상 네임스페이스의 cron 작업으로 파이프라인 실행 및 작업 실행이 자동으로 제거됩니다. cron 작업에서는 IMAGE_JOB_PRUNER_TKN 환경 변수를 사용하여 tkn image 값을 가져옵니다. 이번 개선된 기능을 통해 TektonConfig 사용자 정의 리소스에 다음 필드가 도입되었습니다.

...
pruner:
  resources:
    - pipelinerun
    - taskrun
  schedule: "*/5 * * * *" # cron schedule
  keep: 2 # delete all keeping n
...

OpenShift Container Platform에서는 TektonConfig 사용자 정의 리소스에서 새 매개변수 clusterTasks 및 pipelinesTemplates 값을 수정하여 Tekton 애드온 구성 요소 설치를 사용자 지정할 수 있습니다.

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  profile: all
  targetNamespace: openshift-pipelines
  addon:
    params:
    - name: clusterTasks
      value: "true"
    - name: pipelineTemplates
      value: "true"
...

사용자 지정은 TektonConfig를 사용하여 애드온을 만들거나 Techton 애드온을 사용하여 직접 만드는 경우에 허용됩니다. 그러나 매개 변수가 전달되지 않으면 컨트롤러는 기본값을 사용하여 매개 변수를 추가합니다.

enableMetrics 매개변수는 TektonConfig 사용자 지정 리소스에 추가됩니다. 이를 사용하여 OpenShift Container Platform용 Tekton Pipelines의 일부인 서비스 모니터를 비활성화할 수 있습니다.

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  profile: all
  targetNamespace: openshift-pipelines
  pipeline:
    params:
    - name: enableMetrics
      value: "true"
...

인터셉터 등록에 대한 ClusterInterceptor 사용자 정의 리소스 정의가 추가되어 연결할 수 있는 새로운 Interceptor 유형을 등록할 수 있습니다. 또한 다음과 같은 관련 변경 사항이 적용됩니다.

tkn start [task | clustertask | pipeline] 명령은 대화식으로 시작하고 기본 매개변수를 지정하는 경우에도 params 값을 요청합니다. 대화식 프롬프트를 중지하려면 명령을 호출할 때 --use-param-defaults 플래그를 전달합니다. 예를 들면 다음과 같습니다.

$ tkn pipeline start build-and-deploy \
    -w name=shared-workspace,volumeClaimTemplateFile=https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.7/01_pipeline/03_persistent_volume_claim.yaml \
    -p deployment-name=pipelines-vote-api \
    -p git-url=https://github.com/openshift/pipelines-vote-api.git \
    -p IMAGE=image-registry.openshift-image-registry.svc:5000/pipelines-tutorial/pipelines-vote-api \
    --use-param-defaults

when 표현식에서 작성된 필드에 대한 지원에서는 PascalCase가 제거되었습니다. when 표현식은 소문자로 작성된 필드만 지원합니다.

Red Hat OpenShift Pipelines Operator를 v1.5로 업그레이드하면 openshift-client 및 openshift-client-v-1-5-0 클러스터 작업에 SCRIPT 매개변수가 있습니다. 그러나 ARGS 매개변수와 git 리소스는 openshift-client 클러스터 작업의 사양에서 제거됩니다. 이는 중단된 변경 사항이며 ClusterTask 리소스의 name 필드에 특정 버전이 없는 클러스터 작업만 원활하게 업그레이드됩니다.

파이프라인 실행이 중단되지 않도록 하려면 업그레이드 후 ARGS 매개변수에 지정된 값을 클러스터 작업의 SCRIPT 매개변수로 이동하기 때문에 SCRIPT 매개변수를 사용합니다. 예를 들면 다음과 같습니다.

...
- name: deploy
  params:
  - name: SCRIPT
    value: oc rollout status <deployment-name>
  runAfter:
    - build
  taskRef:
    kind: ClusterTask
    name: openshift-client
...

Red Hat OpenShift Pipelines Operator v1.4에서 v1.5로 업그레이드하면 TektonConfig 사용자 정의 리소스가 설치된 프로필 이름이 변경됩니다.

disable-home-env-overwrite 및 disable-working-dir-overwrite 필드는 더 이상 사용되지 않으며 향후 릴리스에서 제거됩니다. 이번 릴리스에서는 이전 버전과의 호환성을 위해 이러한 플래그의 기본값이 true로 설정됩니다.

EventListener 리소스의 상태에는 Ready라는 새로운 조건이 있습니다.

replicas 필드는 EventListener 사양에서 더 이상 사용되지 않습니다. 대신 spec.replicas 필드가 KubernetesResource 사양의 spec.resources.kubernetesResource.replicas로 이동됩니다.

git-cli 클러스터 작업은 /root가 사용자의 홈 디렉터리로 예상되는 alpine/git 기본 이미지에서 빌드됩니다. 그러나 git-cli 클러스터 작업에는 명시적으로 설정되어 있지 않습니다.

Tekton에서 달리 지정하지 않는 한, Tekton에서 기본 홈 디렉토리는 작업의 모든 단계에 대해 /tekton/home으로 덮어씁니다. 기본 이미지의 $HOME 환경 변수를 덮어쓰면 git-cli 클러스터 작업이 실패합니다.

이 문제는 다음 릴리스에서 수정될 예정입니다. Red Hat OpenShift Pipelines 1.5 및 이전 버전의 경우 다음 해결 방법 중 하나를 사용하여 git-cli 클러스터 작업이 실패하지 않도록 할 수 있습니다.

사용자 지정 작업에는 다음과 같은 향상된 기능이 있습니다.

finally 작업에는 다음과 같은 향상된 기능이 있습니다.

pipelines-scc SCC(Security Context Constraint)는 파이프라인의 기본 pipeline 서비스 계정과 함께 사용됩니다. 이 새 서비스 계정은 anyuid와 유사하지만 OpenShift Container Platform 4.7의 SCC에 대해 YAML에 정의된 것과 약간의 차이점이 있습니다.

fsGroup:
  type: MustRunAs

트리거 사양 및 바인딩에서는 template.ref를 사용하도록 더 이상 사용되지 않는 필드 template.name이 제거됩니다. ref 필드를 사용하려면 모든 eventListener 정의를 업데이트해야 합니다.

트리거 바인딩에 다음 구성이 있는 경우 JSON 형식이 잘못 처리되어 발생하는 오류를 트리거합니다.

params:
  - name: github_json
    value: $(body)

문제를 해결하려면 다음을 수행합니다.

Red Hat OpenShift Pipelines Operator를 설치 제거해도 이벤트 리스너는 제거되지 않습니다.

해결 방법은 EventListener 및 Pod CRD를 제거하는 것입니다.

IBM Power Systems(ppc64le) 또는 IBM Z(s390x) 클러스터에서 명령 사양 없이 다중 아키텍처 컨테이너 이미지 작업을 실행하면 TaskRun 리소스가 실패하고 다음 오류 메시지가 표시됩니다.

Error executing command: fork/exec /bin/bash: exec format error

해결 방법은 아키텍처별 컨테이너 이미지를 사용하거나 sha256 다이제스트를 지정하여 올바른 아키텍처를 가리키는 것입니다. sha256 다이제스트를 가져오려면 다음을 입력합니다.

$ skopeo inspect --raw <image_name>| jq '.manifests[] | select(.platform.architecture == "<architecture>") | .digest'

Steps 사양의 환경 변수 $HOME 및 변수 workingDir은 더 이상 사용되지 않으며 향후 릴리스에서 변경될 수 있습니다. 현재 Step 컨테이너의 HOME 및 workingDir 매개 변수가 /tekton/home과 /workspace을 각각 덮어씁니다.

향후 릴리스에서 이 두 필드는 수정되지 않으며, 컨테이너 이미지 및 Task YAML에 정의된 값으로 설정될 것입니다. 이번 릴리스에서는 disable-home-env-overwrite 및 disable-working-directory-overwrite 플래그를 사용하여 HOME 및 workingDir 변수의 덮어쓰기 기능을 비활성화하십시오.

컨테이너에 사용자가 새로 추가되면 buildah 클러스터 작업이 작동하지 않습니다.

Operator가 설치되면 buildah 클러스터 작업에 대한 --storage-driver 플래그가 지정되지 않으므로 플래그가 기본값으로 설정됩니다. 스토리지 드라이버가 잘못 설정되는 경우도 발생할 수 있습니다. 사용자가 새로 추가되면 잘못된 스토리지 드라이버로 인해 다음 오류가 발생되면서 buildah 클러스터 작업이 실패합니다.

useradd: /etc/passwd.8: lock file already used
useradd: cannot lock /etc/passwd; try again later.

이 문제를 해결하려면 buildah-task.yaml 파일에서 --storage-driver 플래그 값을 overlay로 직접 설정하십시오.

또는 Pipelines Cluster Tasks buildah로 이동하여 웹 콘솔에서 직접 buildah 클러스터 작업 YAML 파일을 수정할 수도 있습니다. Actions 메뉴에서 Edit Cluster Task를 선택하고 이전 프로시저에서 안내한 대로 command 필드를 변경합니다.