平台工程师 | CI/CDSRE最佳实践终极版

▌ 技术引导
平台工程师在CI/CD领域必须掌控的几个核心点：
1. 构建流水线时务必避免单点故障，采用分布式架构部署流水线任务，比如使用Kubernetes + ArgoCD实现任务的自我修复和弹性扩展。
2. 环境变量管理必须严格区分生产/非生产，建议使用Vault + Terraform结合状态文件管理，确保敏感数据不暴露。
3. 镜像构建要开启BuildKit，配合--mount type=cache和--no-cache标志，能节省30%以上的时间。
4. Pipeline触发策略要精细化，比如使用webhooks + token验证，防止误触或被恶意利用。
5. 构建结果要支持多阶段回滚，比如使用Git标签+SemVer，通过脚本自动切换版本。

▌ 技术参考
一 选择合适的CI/CD工具链
2024年起，几乎所有团队都转向GitOps模式，Argo CD + GitHub Actions成为标配。
在GitHub上创建新的Workflow时，必须明确指定ref和events，比如on: push: branches: [main]。
Pipeline的YAML文件要遵循严格的结构，避免使用动态变量，确保可读性和稳定性。
比如，构建阶段建议使用docker build --platform linux/amd64 -t myimage:latest，配合ARGO_CD_APP_PROJECT和ARGO_CD_APP_NAME变量，让部署更可控。

二 环境隔离与变量管理
环境变量必须分层管理，生产环境变量放在Vault，非生产用Kubernetes ConfigMap。
使用vault kv put secret/myapp env=prod，然后在构建脚本中通过export $(vault kv get -field=env secret/myapp)获取。
不要直接在YAML中写明文变量，这样容易泄露。
比如，在GitHub Actions中使用env: variables: prod_env: ${{ secrets.VAULT_ENV }}，确保只有授权用户才能访问。

三 镜像构建最佳实践
Docker BuildKit是2024年以后必须启用的编译器，使用docker build --build-arg=ARG --target=build。
缓存策略要根据实际情况调整，比如在构建时加--mount type=cache,src=/home/user/.docker/cache,target=/home/user/.docker/cache，或者用--no-cache跳过无效层。
多架构构建要结合kaniko和buildx，例如docker buildx build --platform linux/amd64,linux/arm64 -t myimage:latest --push。
多阶段构建能减少镜像体积，比如FROM golang:1.20 as builder，接着FROM alpine:latest as final，COPY --from=builder /go/bin/app /usr/bin/app。

四 分布式流水线设计
使用Kubernetes + Argo CD实现流水线任务调度，每个任务都封装为独立的Job。
在Argo CD的YAML中，定义application的syncPolicy，例如spec: syncPolicy: automated: prune: true, selfHeal: true。
避免将流水线任务硬编码到单个节点，而是通过ServiceAccount和RoleBinding实现权限隔离。
比如，在Kubernetes中创建一个名为ci-worker的ServiceAccount，绑定相应的Role权限。

五 触发策略与安全校验
触发CI/CD流水线必须使用webhook，并加入token验证，例如在GitHub Actions中使用secrets.GITHUB_TOKEN。
不要直接使用分支名触发，而是通过环境标签，例如使用环境变量ENV=dev，触发时判断env是否匹配。
HTTPS是2025年之后默认要求，所有请求必须通过HTTPS，避免中间人攻击。
比如，在GitHub Actions的YAML中配置uses: actions/checkout@v3，然后uses: actions/setup-node@v3，确保提交信息加密传输。

六 自动化测试与部署策略
单元测试必须集成到构建阶段，使用go test -v -coverprofile=coverage.out，并将覆盖率报告上传到CodeQL或Coveralls。
集成测试建议用Docker Compose模拟环境，例如docker-compose -f tests/local.env up -d。
部署策略要支持蓝绿或金丝雀发布，比如使用kubectl apply --prune，并设置maxUnavailable=0。
可以通过配置kubectl rollout history deployments/myapp，查看历史版本方便回滚。

七 分支策略与权限管理
使用GitHub的Branch Protection规则，限制只有特定分支才能触发CI任务，比如main和release/。
权限管理要区分读写权限，比如通过Kubernetes的RBAC模型，限制ci-worker只能读取特定仓库。
避免在主分支上直接提交构建脚本，而是使用feature分支，通过PR触发构建。
例如，创建一个名为ci-deploy的GitHub Action，只在release/分支被触发时运行。

八 镜像仓库与版本控制
Docker Hub或AWS ECR是2025年后主流选择，建议使用AWS ECR，因为其支持细粒度的访问控制和镜像扫描。
镜像标签必须遵循SemVer格式，比如v1.0.0，确保版本可追溯。
每次构建都要生成新版本，使用docker tag myimage:latest myimage:latest，并push到仓库。
可以通过docker push myimage:latest命令将镜像推送到私有仓库，配合aws ecr get-login-password获取凭证。

九 日志与监控集成
使用Grafana Loki记录流水线日志，结合Prometheus监控资源使用情况，例如通过kubectl top node查看CPU和内存负载。
日志要分级，比如构建阶段用INFO，错误用ERROR，关键点用DEBUG。
监控要实时，比如使用Prometheus + Alertmanager告警，当构建失败时自动通知Slack或Teams。
可以通过在YAML中添加job: custom-name，然后在Prometheus配置中定义相应的指标。

十 依赖管理与缓存策略
构建时要使用Docker BuildKit的缓存机制，避免重复下载依赖，例如docker build --mount type=cache,src=/home/user/.cache,target=/home/user/.cache。
对于Go项目，建议使用go mod tidy和go mod vendor，确保依赖一致性。
Python项目可以使用pip cache dir，并通过--cache-dir指定缓存路径。
依赖库要定期扫描，比如使用Trivy扫描Docker镜像，确保无漏洞。

十一 构建参数化与环境适配
构建参数要通过CLI或YAML传递，比如使用docker build --build-arg=GOOS=linux --build-arg=GOARCH=amd64。
环境适配要通过env文件实现，例如在Kubernetes中使用ConfigMap挂载配置，如env: myapp-config。
参数要避免硬编码，而是使用变量，比如在GitHub Actions中使用env: variables: os: linux。
对于多环境部署，建议使用不同标签，比如dev、stage、prod，确保不混淆。

十二 构建镜像与推送流程
构建镜像时要开启BuildKit，使用docker build --platform linux/amd64 -t myimage:latest。
推送镜像前要执行docker push myimage:latest，并设置正确的AWS ECR凭证环境变量。
构建完成后要标记镜像版本，如docker tag myimage:latest myimage:v1.0.0。
推送后要执行docker push，并检查ECR中的镜像是否存在。

十三 快速失败与延迟控制
CI/CD阶段要设置快速失败机制，比如在YAML中加入continue-on-error: false，确保早期错误及时被捕获。
延迟控制要合理，比如在构建阶段使用sleep 10，避免资源浪费。
使用kubectl rollout undo deployments/myapp能够快速回退到上一个稳定版本。
避免在同一个阶段中运行多个长时间任务，建议拆分成独立Job。

十四 集成Jenkins与GitLab CI
Jenkins可以使用Pipeline作为DSL，比如pipeline { agent any, stages { stage('build') { steps { sh 'go build' } } } }。
GitLab CI要配置.env文件，避免在YAML中硬编码敏感信息。
Pipeline要支持并行执行，比如stage('test') { parallel { stage('unit') { steps { sh 'go test' } }, stage('integration') { steps { sh 'go test -integrate' } } } }。
Jenkins的环境变量管理要使用Credentials Binding插件，确保安全。

十五 安全加固与权限控制
所有CI/CD任务必须使用最小权限原则，比如Kubernetes的ServiceAccount只允许读取特定命名空间。
镜像仓库要启用镜像扫描，比如使用AWS ECR的image scanning功能，定期检查漏洞。
使用GitHub Secrets管理敏感信息，比如API keys和密码。
避免在构建脚本中使用硬编码的凭证，而是通过环境变量获取，如AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY。