4.8. 使用 Pipelines as Code

流程

1. 配置 Webhook 并创建一个 Repository 自定义资源 (CR)。

   • 要配置 webhook 并使用 tkn pac CLI 工具自动创建一个 Repository CR，请使用以下命令：

     $ tkn pac create repo

     互动输出示例

     ? Enter the Git repository url (default: https://github.com/owner/repo):
     ? Please enter the namespace where the pipeline should run (default: repo-pipelines):
     ! Namespace repo-pipelines is not found
     ? Would you like me to create the namespace repo-pipelines? Yes
     ✓ Repository owner-repo has been created in repo-pipelines namespace
     ✓ Setting up GitHub Webhook for Repository https://github.com/owner/repo
     👀 I have detected a controller url: https://pipelines-as-code-controller-openshift-pipelines.apps.example.com
     ? Do you want me to use it? Yes
     ? Please enter the secret to configure the webhook for payload validation (default: sJNwdmTifHTs):  sJNwdmTifHTs
     ℹ ️You now need to create a GitHub personal access token, please checkout the docs at https://docs.github.com/en/authentication/keeping-your-account-and-data-secure/creating-a-personal-access-token for the required scopes
     ? Please enter the GitHub access token:  ****************************************
     ✓ Webhook has been created on repository owner/repo
     🔑 Webhook Secret owner-repo has been created in the repo-pipelines namespace.
     🔑 Repository CR owner-repo has been updated with webhook secret in the repo-pipelines namespace
     ℹ Directory .tekton has been created.
     ✓ We have detected your repository using the programming language Go.
     ✓ A basic template has been created in /home/Go/src/github.com/owner/repo/.tekton/pipelinerun.yaml, feel free to customize it.

   • 要配置 webhook 并 手动创建 Repository CR，请执行以下步骤：

     1. 在 OpenShift 集群中，提取 Pipelines as Code 控制器的公共 URL。

        $ echo https://$(oc get route -n pipelines-as-code pipelines-as-code-controller -o jsonpath='{.spec.host}')

     2. 在 GitHub 存储库或机构中执行以下步骤：

        1. 进入 Settings -> Webhooks 并点 Add webhook。
        2. 将 Payload URL 设置为 Pipelines as Code 的公共 URL。
        3. 将内容类型选为 application/json。

        4. 添加 webhook secret 并在另一个位置记录它。在本地机器上安装 openssl 后，生成一个随机 secret。

           $ openssl rand -hex 20

        5. 点 Let me select individual events 并选择这些事件：Commit comments, Issue comments, Pull request, 和 Pushes.
        6. 点击 Add webhook。

     3. 在 OpenShift 集群中，使用个人访问令牌和 webhook secret 创建一个 Secret 对象。

        $ oc -n target-namespace create secret generic github-webhook-config \
          --from-literal provider.token="<GITHUB_PERSONAL_ACCESS_TOKEN>" \
          --from-literal webhook.secret="<WEBHOOK_SECRET>"

     4. 创建 Repository CR。

        示例： Repository CR

        apiVersion: "pipelinesascode.tekton.dev/v1alpha1"
        kind: Repository
        metadata:
          name: my-repo
          namespace: target-namespace
        spec:
          url: "https://github.com/owner/repo"
          git_provider:
            secret:
              name: "github-webhook-config"
              key: "provider.token" # Set this if you have a different key in your secret
            webhook_secret:
              name: "github-webhook-config"
              key: "webhook.secret" # Set this if you have a different key for your secret

        注意

        Pipelines as Code 假设 OpenShift Secret 对象和 Repository CR 位于同一命名空间中。

2. 可选： 对于现有的 Repository CR，请添加多个 GitHub Webhook secret 或为已删除的 secret 提供替换。

   1. 使用 tkn pac CLI 工具添加 webhook。

      示例：使用 tkn pac CLI 的额外 Webhook

      $ tkn pac webhook add -n repo-pipelines

      互动输出示例

      ✓ Setting up GitHub Webhook for Repository https://github.com/owner/repo
      👀 I have detected a controller url: https://pipelines-as-code-controller-openshift-pipelines.apps.example.com
      ? Do you want me to use it? Yes
      ? Please enter the secret to configure the webhook for payload validation (default: AeHdHTJVfAeH):  AeHdHTJVfAeH
      ✓ Webhook has been created on repository owner/repo
      🔑 Secret owner-repo has been updated with webhook secert in the repo-pipelines namespace.

   2. 更新现有 OpenShift Secret 对象中的 webhook.secret 密钥。

3. 可选： 对于现有的 Repository CR，更新个人访问令牌。

   • 使用 tkn pac CLI 工具更新个人访问令牌。

     示例：使用 tkn pac CLI 更新个人访问令牌

     $ tkn pac webhook update-token -n repo-pipelines

     互动输出示例

     ? Please enter your personal access token:  ****************************************
     🔑 Secret owner-repo has been updated with new personal access token in the repo-pipelines namespace.

   • 或者，通过修改 Repository CR 来更新个人访问令牌。

     1. 在 Repository CR 中查找 secret 的名称。

        ...
        spec:
          git_provider:
            secret:
              name: "github-webhook-config"
        ...

     2. 使用 oc patch 命令更新 $target_namespace 命名空间中的 $NEW_TOKEN 的值。

        $ oc -n $target_namespace patch secret github-webhook-config -p "{\"data\": {\"provider.token\": \"$(echo -n $NEW_TOKEN|base64 -w0)\"}}"

流程

1. 配置 Webhook 并创建一个 Repository 自定义资源 (CR)。

   • 要配置 webhook 并使用 tkn pac CLI 工具自动创建一个 Repository CR，请使用以下命令：

     $ tkn pac create repo

     互动输出示例

     ? Enter the Git repository url (default: https://gitlab.com/owner/repo):
     ? Please enter the namespace where the pipeline should run (default: repo-pipelines):
     ! Namespace repo-pipelines is not found
     ? Would you like me to create the namespace repo-pipelines? Yes
     ✓ Repository repositories-project has been created in repo-pipelines namespace
     ✓ Setting up GitLab Webhook for Repository https://gitlab.com/owner/repo
     ? Please enter the project ID for the repository you want to be configured,
       project ID refers to an unique ID (e.g. 34405323) shown at the top of your GitLab project : 17103
     👀 I have detected a controller url: https://pipelines-as-code-controller-openshift-pipelines.apps.example.com
     ? Do you want me to use it? Yes
     ? Please enter the secret to configure the webhook for payload validation (default: lFjHIEcaGFlF):  lFjHIEcaGFlF
     ℹ ️You now need to create a GitLab personal access token with `api` scope
     ℹ ️Go to this URL to generate one https://gitlab.com/-/profile/personal_access_tokens, see https://is.gd/rOEo9B for documentation
     ? Please enter the GitLab access token:  **************************
     ? Please enter your GitLab API URL::  https://gitlab.com
     ✓ Webhook has been created on your repository
     🔑 Webhook Secret repositories-project has been created in the repo-pipelines namespace.
     🔑 Repository CR repositories-project has been updated with webhook secret in the repo-pipelines namespace
     ℹ Directory .tekton has been created.
     ✓ A basic template has been created in /home/Go/src/gitlab.com/repositories/project/.tekton/pipelinerun.yaml, feel free to customize it.

   • 要配置 webhook 并 手动创建 Repository CR，请执行以下步骤：

     1. 在 OpenShift 集群中，提取 Pipelines as Code 控制器的公共 URL。

        $ echo https://$(oc get route -n pipelines-as-code pipelines-as-code-controller -o jsonpath='{.spec.host}')

     2. 在 GitLab 项目中，执行以下步骤：

        1. 使用左侧边栏进入 Settings -> Webhooks。
        2. 将 URL 设置为 Pipelines as Code 控制器公共 URL。

        3. 添加 webhook secret 并在另一个位置记录它。在本地机器上安装 openssl 后，生成一个随机 secret。

           $ openssl rand -hex 20

        4. 点 Let me select individual events 并选择这些事件：Commit comments, Issue comments, Pull request, 和 Pushes.
        5. 点 Save Changes。

     3. 在 OpenShift 集群中，使用个人访问令牌和 webhook secret 创建一个 Secret 对象。

        $ oc -n target-namespace create secret generic gitlab-webhook-config \
          --from-literal provider.token="<GITLAB_PERSONAL_ACCESS_TOKEN>" \
          --from-literal webhook.secret="<WEBHOOK_SECRET>"

     4. 创建 Repository CR。

        示例： Repository CR

        apiVersion: "pipelinesascode.tekton.dev/v1alpha1"
        kind: Repository
        metadata:
          name: my-repo
          namespace: target-namespace
        spec:
          url: "https://gitlab.com/owner/repo" 1
          git_provider:
            secret:
              name: "gitlab-webhook-config"
              key: "provider.token" # Set this if you have a different key in your secret
            webhook_secret:
              name: "gitlab-webhook-config"
              key: "webhook.secret" # Set this if you have a different key for your secret

        1

        目前，Pipelines as Code 不会自动检测 GitLab 的私有实例。在这种情况下，在 git_provider.url spec 下指定 API URL。通常，您可以使用 git_provider.url spec 手动覆盖 API URL。

   注意
   • Pipelines as Code 假设 OpenShift Secret 对象和 Repository CR 位于同一命名空间中。

2. 可选： 对于现有的 Repository CR，请添加多个 GitLab Webhook secret 或为已删除的 secret 提供替换。

   1. 使用 tkn pac CLI 工具添加 webhook。

      示例：使用 tkn pac CLI 添加额外的 Webhook

      $ tkn pac webhook add -n repo-pipelines

      互动输出示例

      ✓ Setting up GitLab Webhook for Repository https://gitlab.com/owner/repo
      👀 I have detected a controller url: https://pipelines-as-code-controller-openshift-pipelines.apps.example.com
      ? Do you want me to use it? Yes
      ? Please enter the secret to configure the webhook for payload validation (default: AeHdHTJVfAeH):  AeHdHTJVfAeH
      ✓ Webhook has been created on repository owner/repo
      🔑 Secret owner-repo has been updated with webhook secert in the repo-pipelines namespace.

   2. 更新现有 OpenShift Secret 对象中的 webhook.secret 密钥。

3. 可选： 对于现有的 Repository CR，更新个人访问令牌。

   • 使用 tkn pac CLI 工具更新个人访问令牌。

     示例：使用 tkn pac CLI 更新个人访问令牌

     $ tkn pac webhook update-token -n repo-pipelines

     互动输出示例

     ? Please enter your personal access token:  ****************************************
     🔑 Secret owner-repo has been updated with new personal access token in the repo-pipelines namespace.

   • 或者，通过修改 Repository CR 来更新个人访问令牌。

     1. 在 Repository CR 中查找 secret 的名称。

        ...
        spec:
          git_provider:
            secret:
              name: "gitlab-webhook-config"
        ...

     2. 使用 oc patch 命令更新 $target_namespace 命名空间中的 $NEW_TOKEN 的值。

        $ oc -n $target_namespace patch secret gitlab-webhook-config -p "{\"data\": {\"provider.token\": \"$(echo -n $NEW_TOKEN|base64 -w0)\"}}"

流程

1. 配置 Webhook 并创建一个 Repository CR。

   • 要配置 webhook 并使用 tkn pac CLI 工具自动创建一个 Repository CR，请使用以下命令：

     $ tkn pac create repo

     互动输出示例

     ? Enter the Git repository url (default: https://bitbucket.org/workspace/repo):
     ? Please enter the namespace where the pipeline should run (default: repo-pipelines):
     ! Namespace repo-pipelines is not found
     ? Would you like me to create the namespace repo-pipelines? Yes
     ✓ Repository workspace-repo has been created in repo-pipelines namespace
     ✓ Setting up Bitbucket Webhook for Repository https://bitbucket.org/workspace/repo
     ? Please enter your bitbucket cloud username:  <username>
     ℹ ️You now need to create a Bitbucket Cloud app password, please checkout the docs at https://is.gd/fqMHiJ for the required permissions
     ? Please enter the Bitbucket Cloud app password:  ************************************
     👀 I have detected a controller url: https://pipelines-as-code-controller-openshift-pipelines.apps.example.com
     ? Do you want me to use it? Yes
     ✓ Webhook has been created on repository workspace/repo
     🔑 Webhook Secret workspace-repo has been created in the repo-pipelines namespace.
     🔑 Repository CR workspace-repo has been updated with webhook secret in the repo-pipelines namespace
     ℹ Directory .tekton has been created.
     ✓ A basic template has been created in /home/Go/src/bitbucket/repo/.tekton/pipelinerun.yaml, feel free to customize it.

   • 要配置 webhook 并 手动创建 Repository CR，请执行以下步骤：

     1. 在 OpenShift 集群中，提取 Pipelines as Code 控制器的公共 URL。

        $ echo https://$(oc get route -n pipelines-as-code pipelines-as-code-controller -o jsonpath='{.spec.host}')

     2. 在 Bitbucket Cloud 上，执行以下步骤：

        1. 使用 Bitbucket Cloud 存储库的左侧导航窗格，进入 Repository settings -> Webhooks，然后点 Add webhook。
        2. 设置 Title。例如，"Pipelines as Code"。
        3. 将 URL 设置为 Pipelines as Code 控制器公共 URL。
        4. 选择这些事件： Repository: Push,Pull Request: Created,Pull Request: Updated, 和 Pull Request: Comment created.
        5. 点击 Save。

     3. 在 OpenShift 集群中，使用目标命名空间中的 app 密码创建一个 Secret 对象。

        $ oc -n target-namespace create secret generic bitbucket-cloud-token \
          --from-literal provider.token="<BITBUCKET_APP_PASSWORD>"

     4. 创建 Repository CR。

        示例： Repository CR

        apiVersion: "pipelinesascode.tekton.dev/v1alpha1"
        kind: Repository
        metadata:
          name: my-repo
          namespace: target-namespace
        spec:
          url: "https://bitbucket.com/workspace/repo"
          branch: "main"
          git_provider:
            user: "<BITBUCKET_USERNAME>" 1
            secret:
              name: "bitbucket-cloud-token" 2
              key: "provider.token" # Set this if you have a different key in your secret

        1

        您只能通过所有者文件中的 ACCOUNT_ID 引用用户。

        2

        Pipelines as Code 假设 git_provider.secret spec 引用的 secret 和Repository CR 位于同一命名空间中。

   注意
   • Bitbucket 云不支持 tkn pac create 和 tkn pac bootstrap 命令。

   • Bitbucket 云不支持 Webhook secret。为了保护有效负载并防止 CI 被劫持，Pipelines as Code 会获取 Bitbucket 云 IP 地址列表，并确保 Webhook 接收仅来自这些 IP 地址。

     • 要禁用这个默认行为，在 Pipelines 中将 bitbucket-cloud-check-source-ip 键设置为 false，作为 pipelines-as-code 命名空间的代码配置映射中。
     • 要允许额外的安全 IP 地址或网络，请将它们作为逗号分隔的值添加到 Pipelines 中的 bitbucket-cloud-additional-source-ip 键中，作为 pipelines-as-code 命名空间的代码配置映射。

2. 可选： 对于现有的 Repository CR，请添加多个 Bitbucket Cloud Webhook secret 或为已删除的 secret 提供替换。

   1. 使用 tkn pac CLI 工具添加 webhook。

      示例：使用 tkn pac CLI 添加额外的 Webhook

      $ tkn pac webhook add -n repo-pipelines

      互动输出示例

      ✓ Setting up Bitbucket Webhook for Repository https://bitbucket.org/workspace/repo
      ? Please enter your bitbucket cloud username:  <username>
      👀 I have detected a controller url: https://pipelines-as-code-controller-openshift-pipelines.apps.example.com
      ? Do you want me to use it? Yes
      ✓ Webhook has been created on repository workspace/repo
      🔑 Secret workspace-repo has been updated with webhook secret in the repo-pipelines namespace.

      注意

      只有在 Repository CR 在 default 命名空间以外的命名空间中存在时，才在运行 tkn pac webhook add 命令时使用 [-n <namespace>] 选项。

   2. 更新现有 OpenShift Secret 对象中的 webhook.secret 密钥。

3. 可选： 对于现有的 Repository CR，更新个人访问令牌。

   • 使用 tkn pac CLI 工具更新个人访问令牌。

     示例：使用 tkn pac CLI 更新个人访问令牌

     $ tkn pac webhook update-token -n repo-pipelines

     互动输出示例

     ? Please enter your personal access token:  ****************************************
     🔑 Secret owner-repo has been updated with new personal access token in the repo-pipelines namespace.

     注意

     只有在 Repository CR 在 default 命名空间以外的命名空间中存在时，才在 tkn pac webhook update-token 命令中使用 [-n <namespace>] 选项。

   • 或者，通过修改 Repository CR 来更新个人访问令牌。

     1. 在 Repository CR 中查找 secret 的名称。

        ...
        spec:
          git_provider:
            user: "<BITBUCKET_USERNAME>"
            secret:
              name: "bitbucket-cloud-token"
              key: "provider.token"
        ...

     2. 使用 oc patch 命令更新 $target_namespace 命名空间中的 $password 的值。

        $ oc -n $target_namespace patch secret bitbucket-cloud-token -p "{\"data\": {\"provider.token\": \"$(echo -n $NEW_TOKEN|base64 -w0)\"}}"

流程

1. 在 OpenShift 集群中，提取 Pipelines as Code 控制器的公共 URL。

   $ echo https://$(oc get route -n pipelines-as-code pipelines-as-code-controller -o jsonpath='{.spec.host}')

2. 在 Bitbucket 服务器上，执行以下步骤：

   1. 使用 Bitbucket Data Center 存储库的左侧导航窗格，进入 Repository settings -> Webhooks 并点 Add webhook。
   2. 设置 Title。例如，"Pipelines as Code"。
   3. 将 URL 设置为 Pipelines as Code 控制器公共 URL。

   4. 添加 webhook secret，并将它的副本保存到备用位置。如果您在本地机器上安装了 openssl，使用以下命令生成随机 secret：

      $ openssl rand -hex 20

   5. 选择以下事件：

      • Repository: Push
      • Repository: Modified
      • Pull Request: Opened
      • Pull Request: Source branch updated
      • Pull Request: Comment added
   6. 点击 Save。

3. 在 OpenShift 集群中，使用目标命名空间中的 app 密码创建一个 Secret 对象。

   $ oc -n target-namespace create secret generic bitbucket-server-webhook-config \
     --from-literal provider.token="<PERSONAL_TOKEN>" \
     --from-literal webhook.secret="<WEBHOOK_SECRET>"

4. 创建 Repository CR。

   示例： Repository CR

   ---
     apiVersion: "pipelinesascode.tekton.dev/v1alpha1"
     kind: Repository
     metadata:
       name: my-repo
       namespace: target-namespace
     spec:
       url: "https://bitbucket.com/workspace/repo"
       git_provider:
         url: "https://bitbucket.server.api.url/rest" 1
         user: "<BITBUCKET_USERNAME>" 2
         secret: 3
           name: "bitbucket-server-webhook-config"
           key: "provider.token" # Set this if you have a different key in your secret
         webhook_secret:
           name: "bitbucket-server-webhook-config"
           key: "webhook.secret" # Set this if you have a different key for your secret

   1

   确保具有不带 /api/v1.0 后缀的正确的 Bitbucket 服务器 API URL。通常，默认安装有一个 /rest 后缀。

   2

   您只能通过所有者文件中的 ACCOUNT_ID 引用用户。

   3

   Pipelines as Code 假设 git_provider.secret spec 引用的 secret 和Repository CR 位于同一命名空间中。

   注意

   Bitbucket 服务器不支持 tkn pac create 和 tkn pac bootstrap 命令。