4.5. 为使用 OpenShift Pipelines 的应用程序创建 CI/CD 解决方案

流程

1. 登录您的 OpenShift Container Platform 集群：

   $ oc login -u <login> -p <password> https://openshift.example.com:6443

2. 为示例应用程序创建一个项目。在本例中，创建 pipelines-tutorial 项目：

   $ oc new-project pipelines-tutorial

   注意

   如果您使用其他名称创建项目，请确定使用您的项目名称更新示例中使用的资源 URL。

3. 查看 pipeline 服务帐户：

   Red Hat OpenShift Pipelines Operator 添加并配置一个名为 pipeline 的服务帐户，该帐户有足够的权限来构建和推送镜像。PipelineRun 对象使用此服务帐户。

   $ oc get serviceaccount pipeline

流程

1. 从 pipelines-tutorial 存储库安装 apply-manifests 和 update-deployment 任务资源，其中包含可为管道重复使用的任务列表：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/01_pipeline/01_apply_manifest_task.yaml
   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/01_pipeline/02_update_deployment_task.yaml

2. 使用 tkn task list 命令列出您创建的任务：

   $ tkn task list

   输出会确认创建了 apply-manifests 和 update-deployment 任务：

   NAME                DESCRIPTION   AGE
   apply-manifests                   1 minute ago
   update-deployment                 48 seconds ago

3. 使用 tkn clustertasks list 命令列出由 Operator 安装的额外集群任务，如 buildah 和 s2i-python：

   注意

   要在受限环境中使用 buildah 集群任务，您必须确保 Dockerfile 使用内部镜像流作为基础镜像。

   $ tkn clustertasks list

   输出列出了 Operator 安装的 ClusterTask 资源：

   NAME                       DESCRIPTION   AGE
   buildah                                  1 day ago
   git-clone                                1 day ago
   s2i-python                               1 day ago
   tkn                                      1 day ago

流程

1. 复制以下管道 YAML 文件示例内容并保存：

   apiVersion: tekton.dev/v1beta1
   kind: Pipeline
   metadata:
     name: build-and-deploy
   spec:
     workspaces:
     - name: shared-workspace
     params:
     - name: deployment-name
       type: string
       description: name of the deployment to be patched
     - name: git-url
       type: string
       description: url of the git repo for the code of deployment
     - name: git-revision
       type: string
       description: revision to be used from repo of the code for deployment
       default: "pipelines-1.10"
     - name: IMAGE
       type: string
       description: image to be built from the code
     tasks:
     - name: fetch-repository
       taskRef:
         name: git-clone
         kind: ClusterTask
       workspaces:
       - name: output
         workspace: shared-workspace
       params:
       - name: url
         value: $(params.git-url)
       - name: subdirectory
         value: ""
       - name: deleteExisting
         value: "true"
       - name: revision
         value: $(params.git-revision)
     - name: build-image
       taskRef:
         name: buildah
         kind: ClusterTask
       params:
       - name: IMAGE
         value: $(params.IMAGE)
       workspaces:
       - name: source
         workspace: shared-workspace
       runAfter:
       - fetch-repository
     - name: apply-manifests
       taskRef:
         name: apply-manifests
       workspaces:
       - name: source
         workspace: shared-workspace
       runAfter:
       - build-image
     - name: update-deployment
       taskRef:
         name: update-deployment
       params:
       - name: deployment
         value: $(params.deployment-name)
       - name: IMAGE
         value: $(params.IMAGE)
       runAfter:
       - apply-manifests

   Pipeline 定义提取 Git 源存储库和镜像 registry 的特定内容。当一个管道被触发并执行时，这些详细信息会作为 params 添加。

2. 创建管道：

   $ oc create -f <pipeline-yaml-file-name.yaml>

   或者，还可以从 Git 存储库直接执行 YAML 文件：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/01_pipeline/04_pipeline.yaml

3. 使用 tkn pipeline list 命令来验证管道是否已添加到应用程序中：

   $ tkn pipeline list

   检查输出来验证创建了 build-and-deploy pipeline：

   NAME               AGE            LAST RUN   STARTED   DURATION   STATUS
   build-and-deploy   1 minute ago   ---        ---       ---        ---

流程

1. 为前端接口 pipelines-vote-ui 从 mirror registry 中镜像构建器镜像。

   1. 验证所需镜像标签没有导入：

      $ oc describe imagestream python -n openshift

      输出示例

      Name:			python
      Namespace:		openshift
      [...]
      
      3.8-ubi8 (latest)
        tagged from registry.redhat.io/ubi8/python-38:latest
          prefer registry pullthrough when referencing this tag
      
        Build and run Python 3.8 applications on UBI 8. For more information about using this builder image, including OpenShift considerations, see https://github.com/sclorg/s2i-python-container/blob/master/3.8/README.md.
        Tags: builder, python
        Supports: python:3.8, python
        Example Repo: https://github.com/sclorg/django-ex.git
      
      [...]

   2. 将支持的镜像标签镜像到私有 registry：

      $ oc image mirror registry.redhat.io/ubi8/python-38:latest <mirror-registry>:<port>/ubi8/python-38

   3. 导入镜像：

      $ oc tag <mirror-registry>:<port>/ubi8/python-38 python:latest --scheduled -n openshift

      您必须定期重新导入镜像。--scheduled 标志启用镜像自动重新导入。

   4. 验证带有指定标签的镜像已被导入：

      $ oc describe imagestream python -n openshift

      输出示例

      Name:			python
      Namespace:		openshift
      [...]
      
      latest
        updates automatically from registry <mirror-registry>:<port>/ubi8/python-38
      
        * <mirror-registry>:<port>/ubi8/python-38@sha256:3ee3c2e70251e75bfeac25c0c33356add9cc4abcbc9c51d858f39e4dc29c5f58
      
      [...]

2. 为后端接口 pipelines-vote-api 从 mirror registry 中镜像构建器镜像。

   1. 验证所需镜像标签没有导入：

      $ oc describe imagestream golang -n openshift

      输出示例

      Name:			golang
      Namespace:		openshift
      [...]
      
      1.14.7-ubi8 (latest)
        tagged from registry.redhat.io/ubi8/go-toolset:1.14.7
          prefer registry pullthrough when referencing this tag
      
        Build and run Go applications on UBI 8. For more information about using this builder image, including OpenShift considerations, see https://github.com/sclorg/golang-container/blob/master/README.md.
        Tags: builder, golang, go
        Supports: golang
        Example Repo: https://github.com/sclorg/golang-ex.git
      
      [...]

   2. 将支持的镜像标签镜像到私有 registry：

      $ oc image mirror registry.redhat.io/ubi8/go-toolset:1.14.7 <mirror-registry>:<port>/ubi8/go-toolset

   3. 导入镜像：

      $ oc tag <mirror-registry>:<port>/ubi8/go-toolset golang:latest --scheduled -n openshift

      您必须定期重新导入镜像。--scheduled 标志启用镜像自动重新导入。

   4. 验证带有指定标签的镜像已被导入：

      $ oc describe imagestream golang -n openshift

      输出示例

      Name:			golang
      Namespace:		openshift
      [...]
      
      latest
        updates automatically from registry <mirror-registry>:<port>/ubi8/go-toolset
      
        * <mirror-registry>:<port>/ubi8/go-toolset@sha256:59a74d581df3a2bd63ab55f7ac106677694bf612a1fe9e7e3e1487f55c421b37
      
      [...]

3. 从 cli 的镜像 registry 中镜像构建器镜像。

   1. 验证所需镜像标签没有导入：

      $ oc describe imagestream cli -n openshift

      输出示例

      Name:                   cli
      Namespace:              openshift
      [...]
      
      latest
        updates automatically from registry quay.io/openshift-release-dev/ocp-v4.0-art-dev@sha256:65c68e8c22487375c4c6ce6f18ed5485915f2bf612e41fef6d41cbfcdb143551
      
        * quay.io/openshift-release-dev/ocp-v4.0-art-dev@sha256:65c68e8c22487375c4c6ce6f18ed5485915f2bf612e41fef6d41cbfcdb143551
      
      [...]

   2. 将支持的镜像标签镜像到私有 registry：

      $ oc image mirror quay.io/openshift-release-dev/ocp-v4.0-art-dev@sha256:65c68e8c22487375c4c6ce6f18ed5485915f2bf612e41fef6d41cbfcdb143551 <mirror-registry>:<port>/openshift-release-dev/ocp-v4.0-art-dev:latest

   3. 导入镜像：

      $ oc tag <mirror-registry>:<port>/openshift-release-dev/ocp-v4.0-art-dev cli:latest --scheduled -n openshift

      您必须定期重新导入镜像。--scheduled 标志启用镜像自动重新导入。

   4. 验证带有指定标签的镜像已被导入：

      $ oc describe imagestream cli -n openshift

      输出示例

      Name:                   cli
      Namespace:              openshift
      [...]
      
      latest
        updates automatically from registry <mirror-registry>:<port>/openshift-release-dev/ocp-v4.0-art-dev
      
        * <mirror-registry>:<port>/openshift-release-dev/ocp-v4.0-art-dev@sha256:65c68e8c22487375c4c6ce6f18ed5485915f2bf612e41fef6d41cbfcdb143551
      
      [...]

流程

1. 启动后端应用程序的管道：

   $ tkn pipeline start build-and-deploy \
       -w name=shared-workspace,volumeClaimTemplateFile=https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/01_pipeline/03_persistent_volume_claim.yaml \
       -p deployment-name=pipelines-vote-api \
       -p git-url=https://github.com/openshift/pipelines-vote-api.git \
       -p IMAGE='image-registry.openshift-image-registry.svc:5000/$(context.pipelineRun.namespace)/pipelines-vote-api' \
       --use-param-defaults

   上一命令使用卷声明模板，该模板为管道执行创建持久性卷声明。

2. 要跟踪管道运行的进度，请输入以下命令：

   $ tkn pipelinerun logs <pipelinerun_id> -f

   上述命令中的 <pipelinerun_id> 是上一命令输出返回的 PipelineRun 的 ID。

3. 启动前端应用程序的管道：

   $ tkn pipeline start build-and-deploy \
       -w name=shared-workspace,volumeClaimTemplateFile=https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/01_pipeline/03_persistent_volume_claim.yaml \
       -p deployment-name=pipelines-vote-ui \
       -p git-url=https://github.com/openshift/pipelines-vote-ui.git \
       -p IMAGE='image-registry.openshift-image-registry.svc:5000/$(context.pipelineRun.namespace)/pipelines-vote-ui' \
       --use-param-defaults

4. 要跟踪管道运行的进度，请输入以下命令：

   $ tkn pipelinerun logs <pipelinerun_id> -f

   上述命令中的 <pipelinerun_id> 是上一命令输出返回的 PipelineRun 的 ID。

5. 几分钟后，使用 tkn pipelinerun list 命令列出所有管道运行来验证管道是否成功运行：

   $ tkn pipelinerun list

   输出列出了管道运行：

    NAME                         STARTED      DURATION     STATUS
    build-and-deploy-run-xy7rw   1 hour ago   2 minutes    Succeeded
    build-and-deploy-run-z2rz8   1 hour ago   19 minutes   Succeeded

6. 获取应用程序路由：

   $ oc get route pipelines-vote-ui --template='http://{{.spec.host}}'

   记录上一个命令的输出。您可以使用此路由来访问应用程序。

7. 要重新运行最后的管道运行,请使用上一管道的管道资源和服务帐户运行：

   $ tkn pipeline start build-and-deploy --last

流程

1. 复制以下 TriggerBinding YAML 示例文件的内容并保存：

   apiVersion: triggers.tekton.dev/v1beta1
   kind: TriggerBinding
   metadata:
     name: vote-app
   spec:
     params:
     - name: git-repo-url
       value: $(body.repository.url)
     - name: git-repo-name
       value: $(body.repository.name)
     - name: git-revision
       value: $(body.head_commit.id)

2. 创建 TriggerBinding 资源：

   $ oc create -f <triggerbinding-yaml-file-name.yaml>

   或者，您可以直接从 pipelines-tutorial Git 仓库创建 TriggerBinding 资源：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/03_triggers/01_binding.yaml

3. 复制以下 TriggerTemplate YAML 示例文件的内容并保存：

   apiVersion: triggers.tekton.dev/v1beta1
   kind: TriggerTemplate
   metadata:
     name: vote-app
   spec:
     params:
     - name: git-repo-url
       description: The git repository url
     - name: git-revision
       description: The git revision
       default: pipelines-1.10
     - name: git-repo-name
       description: The name of the deployment to be created / patched
   
     resourcetemplates:
     - apiVersion: tekton.dev/v1beta1
       kind: PipelineRun
       metadata:
         generateName: build-deploy-$(tt.params.git-repo-name)-
       spec:
         serviceAccountName: pipeline
         pipelineRef:
           name: build-and-deploy
         params:
         - name: deployment-name
           value: $(tt.params.git-repo-name)
         - name: git-url
           value: $(tt.params.git-repo-url)
         - name: git-revision
           value: $(tt.params.git-revision)
         - name: IMAGE
           value: image-registry.openshift-image-registry.svc:5000/$(context.pipelineRun.namespace)/$(tt.params.git-repo-name)
         workspaces:
         - name: shared-workspace
           volumeClaimTemplate:
             spec:
               accessModes:
                 - ReadWriteOnce
               resources:
                 requests:
                   storage: 500Mi

   模板指定一个卷声明模板，用于创建用于为工作空间定义存储卷的持久性卷声明。因此，您不需要创建持久性卷声明来提供数据存储。

4. 创建 TriggerTemplate 资源：

   $ oc create -f <triggertemplate-yaml-file-name.yaml>

   另外，您还可以从 pipelines-tutorial Git 仓库直接创建 TriggerTemplate 资源：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/03_triggers/02_template.yaml

5. 复制以下 Trigger YAML 示例文件的内容并保存：

   apiVersion: triggers.tekton.dev/v1beta1
   kind: Trigger
   metadata:
     name: vote-trigger
   spec:
     serviceAccountName: pipeline
     bindings:
       - ref: vote-app
     template:
       ref: vote-app

6. 创建 Trigger 资源：

   $ oc create -f <trigger-yaml-file-name.yaml>

   另外，您还可以直接从 pipelines-tutorial Git 仓库创建 Trigger 资源：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/03_triggers/03_trigger.yaml

7. 复制以下 EventListener YAML 示例文件的内容并保存：

   apiVersion: triggers.tekton.dev/v1beta1
   kind: EventListener
   metadata:
     name: vote-app
   spec:
     serviceAccountName: pipeline
     triggers:
       - triggerRef: vote-trigger

   或者，如果您还没有定义触发器自定义资源，将绑定和模板规格添加到 EventListener YAML 文件中，而不是引用触发器的名称：

   apiVersion: triggers.tekton.dev/v1beta1
   kind: EventListener
   metadata:
     name: vote-app
   spec:
     serviceAccountName: pipeline
     triggers:
     - bindings:
       - ref: vote-app
       template:
         ref: vote-app

8. 通过执行以下步骤来创建 EventListener 资源：

   • 使用安全 HTTPS 连接创建 EventListener 资源：

     1. 添加一个标签，在 Eventlistener 资源中启用安全 HTTPS 连接：

        $ oc label namespace <ns-name> operator.tekton.dev/enable-annotation=enabled

     2. 创建 EventListener 资源：

        $ oc create -f <eventlistener-yaml-file-name.yaml>

        或者，您可以直接从 pipelines-tutorial Git 仓库创建 EvenListener 资源：

        $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/pipelines-1.10/03_triggers/04_event_listener.yaml

     3. 使用重新加密 TLS 终止创建路由：

        $ oc create route reencrypt --service=<svc-name> --cert=tls.crt --key=tls.key --ca-cert=ca.crt --hostname=<hostname>

        另外，您可以创建一个重新加密 TLS 终止 YAML 文件，以创建安全路由。

        安全路由重新加密 TLS 终止 YAML 示例

        apiVersion: route.openshift.io/v1
        kind: Route
        metadata:
          name: route-passthrough-secured 1
        spec:
          host: <hostname>
          to:
            kind: Service
            name: frontend 2
          tls:
            termination: reencrypt         3
            key: [as in edge termination]
            certificate: [as in edge termination]
            caCertificate: [as in edge termination]
            destinationCACertificate: |-   4
              -----BEGIN CERTIFICATE-----
              [...]
              -----END CERTIFICATE-----

        1 2

        对象的名称，长度限于 63 个字符。

        3

        termination 字段设置为 reencrypt。这是唯一需要 tls 的字段。

        4

        重新加密需要。destinationCACertificate 指定用来验证端点证书的 CA 证书，保护从路由器到目标 pod 的连接。如果服务使用服务签名证书，或者管理员为路由器指定默认 CA 证书，且服务有由该 CA 签名的证书，则可以省略此字段。

        如需了解更多选项，请参阅 oc create route reencrypt --help。

   • 使用不安全的 HTTP 连接创建 EventListener 资源：

     1. 创建 EventListener 资源。

     2. 将 EventListener 服务公开为 OpenShift Container Platform 路由，使其可以被公开访问：

        $ oc expose svc el-vote-app

流程

1. 为事件监听程序配置集群范围的获取权限。

   1. 设置在 ClusterRoleBinding 和 EventListener 对象中使用的服务帐户名称。例如，el-sa。

      ServiceAccount.yaml 示例

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: el-sa
      ---

   2. 在 ClusterRole.yaml 文件的 rules 部分，为每个事件监听器部署设置适当的权限，以便正常工作集群范围的。

      ClusterRole.yaml 示例

      kind: ClusterRole
      apiVersion: rbac.authorization.k8s.io/v1
      metadata:
        name: el-sel-clusterrole
      rules:
      - apiGroups: ["triggers.tekton.dev"]
        resources: ["eventlisteners", "clustertriggerbindings", "clusterinterceptors", "triggerbindings", "triggertemplates", "triggers"]
        verbs: ["get", "list", "watch"]
      - apiGroups: [""]
        resources: ["configmaps", "secrets"]
        verbs: ["get", "list", "watch"]
      - apiGroups: [""]
        resources: ["serviceaccounts"]
        verbs: ["impersonate"]
      ...

   3. 使用适当的服务帐户名称和集群角色名称配置集群角色绑定。

      ClusterRoleBinding.yaml 示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRoleBinding
      metadata:
        name: el-mul-clusterrolebinding
      subjects:
      - kind: ServiceAccount
        name: el-sa
        namespace: default
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: ClusterRole
        name: el-sel-clusterrole
      ...

2. 在事件监听器的 spec 参数中，添加服务帐户名称，如 el-sa。使用事件监听程序要服务的命名空间名称填充 namespaceSelector 参数。

   EventListener.yaml 示例

   apiVersion: triggers.tekton.dev/v1beta1
   kind: EventListener
   metadata:
     name: namespace-selector-listener
   spec:
     serviceAccountName: el-sa
     namespaceSelector:
       matchNames:
       - default
       - foo
   ...

3. 创建具有必要权限的服务帐户，如 foo-trigger-sa。使用它来绑定触发器。

   ServiceAccount.yaml 示例

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: foo-trigger-sa
     namespace: foo
   ...

   RoleBinding.yaml 示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: triggercr-rolebinding
     namespace: foo
   subjects:
   - kind: ServiceAccount
     name: foo-trigger-sa
     namespace: foo
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: tekton-triggers-eventlistener-roles
   ...

4. 使用适当的触发器模板、触发器绑定和服务帐户名称创建触发器。

   Trigger.yaml 示例

   apiVersion: triggers.tekton.dev/v1beta1
   kind: Trigger
   metadata:
     name: trigger
     namespace: foo
   spec:
     serviceAccountName: foo-trigger-sa
     interceptors:
       - ref:
           name: "github"
         params:
           - name: "secretRef"
             value:
               secretName: github-secret
               secretKey: secretToken
           - name: "eventTypes"
             value: ["push"]
     bindings:
       - ref: vote-app
     template:
       ref: vote-app
   ...

流程

1. 获取 Webhook URL：

   • 对于安全 HTTPS 连接：

     $ echo "URL: $(oc  get route el-vote-app --template='https://{{.spec.host}}')"

   • 对于 HTTP（不安全）连接：

     $ echo "URL: $(oc  get route el-vote-app --template='http://{{.spec.host}}')"

     记录下输出中的 URL。

2. 在前端存储库中手动配置 Webhook：

   1. 在浏览器中打开前端 Git 存储库 pipelines-vote-ui。
   2. 点 Settings Webhooks Add Webhook

   3. 在 Webhooks/Add Webhook 页面中：

      1. 在 Payload URL 字段中输入第 1 步中的 webhook URL
      2. 为 Content type 选择 application/json
      3. 在 Secret 字段中指定 secret
      4. 确定选择了 Just the push event
      5. 选择 Active
      6. 点击 Add webhook。
3. 重复步骤 2 来使用后端存储库 pipelines-vote-api。

流程

1. 在终端中，克隆 fork 的 Git 存储库 pipelines-vote-ui：

   $ git clone git@github.com:<your GitHub ID>/pipelines-vote-ui.git -b pipelines-1.10

2. 推送空提交：

   $ git commit -m "empty-commit" --allow-empty && git push origin pipelines-1.10

3. 检查管道运行是否已触发：

   $ tkn pipelinerun list

   请注意，一个新的管道运行被启动。

流程

1. 对于每个事件侦听器，创建一个服务监控器。例如，要查看 test 命名空间中的 github-listener 事件监听程序的指标，请创建以下服务监控器：

   apiVersion: monitoring.coreos.com/v1
   kind: ServiceMonitor
   metadata:
     labels:
       app.kubernetes.io/managed-by: EventListener
       app.kubernetes.io/part-of: Triggers
       eventlistener: github-listener
     annotations:
       networkoperator.openshift.io/ignore-errors: ""
     name: el-monitor
     namespace: test
   spec:
     endpoints:
       - interval: 10s
         port: http-metrics
     jobLabel: name
     namespaceSelector:
       matchNames:
         - test
     selector:
       matchLabels:
         app.kubernetes.io/managed-by: EventListener
         app.kubernetes.io/part-of: Triggers
         eventlistener: github-listener
   ...

2. 通过将请求发送到事件监听程序来测试服务监控器。例如，推送空提交：

   $ git commit -m "empty-commit" --allow-empty && git push origin main

3. 在 OpenShift Container Platform web 控制台中进入 Administrator Observe Metrics。
4. 要查看指标，请按名称搜索。例如，若要查看 github-listener 事件监听器的 eventlistener_http_resources 指标的详细信息，请使用 eventlistener_http_resources 关键字搜索。