13. 11. 2025

CI/CD pro cloud

P. Varga 27. 7. 2015 0
CI/CD pro cloud

CI/CD pipeline

CI/CD pipeline pro cloudové aplikace je páteřní automatizační systém, který převádí změny kódu a infrastruktury do provozu spolehlivě, bezpečně a opakovatelně. V cloud-native světě (kontejnery, Kubernetes, serverless, spravované služby) už pipeline neřeší jen kompilaci a nasazení, ale také supply-chain security, generování SBOM, policy-as-code, GitOps synchronizaci, správu tajemství a observabilitu napříč prostředími. Tento text shrnuje doporučenou architekturu, postupy a šablony, které vám umožní vybudovat profesionální CI/CD pro veřejný cloud i hybridní topologie.

Principy cloud-native CI/CD

  • Pipeline jako kód: definice workflow v YAML (GitHub Actions, GitLab CI, Jenkinsfile) version-controlled v repozitáři.
  • Deklarativní nasazení: Helm/Kustomize, Argo CD/Flux (GitOps) jako zdroj pravdy pro stavy prostředí.
  • Nezávislé artefakty: OCI image pro aplikaci, chart/kustomization pro deployment, Terraform pro infrastrukturu.
  • Bezpečnost by design: SAST/SCA, image scanning, podpisy artefaktů, OIDC-federace bez statických klíčů.
  • Rychlá zpětná vazba: paralelní testy, ephemeral prostředí pro PR, canary/blue-green rollout s automatickým posuzováním SLO.

Referenční architektura

  • SCM & CI: Git + CI orchestrátor (GitHub Actions/GitLab CI/Jenkins/CircleCI).
  • Artefakty: Container Registry (ECR/GCR/ACR/GHCR), Helm repo, sběr SBOM (CycloneDX/Syft).
  • CD: GitOps kontroler (Argo CD/Flux) sledující environment repo.
  • IaC: Terraform (foundation + per-app moduly), vzdálený state, schvalovací kroky.
  • Secrets: cloudové trezory (AWS Secrets Manager, GCP Secret Manager, Azure Key Vault) + Sealed Secrets/External Secrets pro K8s.
  • Observabilita: Prometheus/Grafana, OpenTelemetry, centralizované logy (Loki/ELK), alerting.

Strategie větví a verzování

  • Trunk-based development: krátké feature větve, rychlé mergování, minimální odchylky od main.
  • Conventional Commits + SemVer: automatické generování tagů, changelogu a release artefaktů.
  • Ochrana hlavní větve: povinné recenze, status checks (lint/test/scan), zákaz přímých pushů.

Build kontejnerů a supply-chain security

  • Deterministický build: lockfile, multi-stage Dockerfile, reprodukovatelné verze.
  • Multi-arch image: buildx a qemu pro linux/amd64 a linux/arm64, pokud cílíte i edge.
  • SBOM: generujte CycloneDX/SPDX, ukládejte do registru a přikládejte k releasu.
  • Skener zranitelností: Trivy/Grype na image i závislosti (SCA), fail policy pro kritické CVE.
  • Podpis artefaktů: Cosign/Sigstore a admission policy v clusteru, která vyžaduje ověřený podpis.

Testovací pyramida a ephemeral prostředí

  • Unit & komponentní testy: nejrychlejší vrstva spouštěná na každý commit.
  • Integrační testy: proti závislostem v kontejnerech (Docker Compose) nebo ve sdíleném test klastru.
  • Kontraktové testy: Pact/Schema validace pro API mezi týmy/microservices.
  • Ephemeral/preview prostředí: pro každý PR vytvořte izolovanou instanci aplikace (namespace), spusťte E2E (Playwright/Cypress) a po uzavření PR uklidit.
  • Výkonnostní smoke: k6 s krátkým profilem při PR; plná zátěž až na stagingu.

Infrastruktura jako kód (Terraform)

  • Oddělení vrstev: foundation (VPC, sítě, KMS, registry) vs. aplikační stack (databáze, fronty, bucket y).
  • Workspaces a moduly: prostředí dev/stage/prod, jednotné moduly pro opakovatelnost.
  • Plan → approve → apply: plan jako artefakt, ruční schválení před apply pro produkci.
  • Remote state + zamykání: S3/GCS/Blob s DynamoDB/Lock table → prevence kolizí.

GitOps a správa prostředí

  • Environment repo: vlastní repozitář s Helm values/Kustomize pro dev/stage/prod.
  • CD tok: CI po buildu image vytvoří PR do env repa, které mění tag verze; Argo CD/Flux doručí změnu do clusteru.
  • Drift detection: zákaz manuálních zásahů mimo Git; alerty při odchylce stavu.

Strategie nasazení a návratů

  • RollingUpdate: výchozí vyvážená strategie pro běžné releasy.
  • Blue/Green: paralelní prostředí a atomický přepínač trafficu (Ingress/Gateway).
  • Canary: postupné procentuální navyšování, automatické zastavení při degradaci SLO (Argo Rollouts/Flagger).
  • Instant rollback: uchovávejte N posledních tagů a reverzibilní migrace DB.

Datové migrace a kompatibilita

  • Expand/contract pattern: nejprve přidat nový sloupec/endpoint, nasadit kompatibilní verzi, až poté odstranit staré.
  • Řízené migrace: Flyway/Liquibase spouštěné jako samostatný job/helm hook s guardraily.
  • Backfill a idempotence: migrační skripty musí být bezpečné při opakovaném běhu.

Identity, tajemství a přístup

  • OIDC federace: CI běh získává krátkodobé tokeny do cloudu; žádné statické klíče v secret storage CI.
  • External Secrets: synchronizace tajemství z cloud trezoru do K8s; audit přístupů a rotace.
  • Least privilege: jemnozrnná IAM/RBAC pro nasazování i běh aplikací.

Observabilita a SRE v pipeline

  • SLI/SLO: definujte cíle latence, chyb a saturace; CI/CD vyhodnocuje error budget před produkčním rolloutem.
  • Automatizované verification gates: po nasazení na canary/stage spouštějte health check, query metrik a smoke E2E; při zhoršení → auto rollback.
  • Release telemetry: každé nasazení zapisujte s verzí/tagem do metrik/logů pro korelaci incidentů.

Security (DevSecOps) end-to-end

  • SAST/CodeQL: na každý PR; blokovat merge při kritických nálezech.
  • SCA + license policy: závislosti bez zakázaných licencí; allowlist do CI.
  • DAST: lehké testy proti preview/stage (OWASP ZAP) s časovým limitem.
  • Podpis a ověření: Cosign + Kyverno/OPA Gatekeeper policy vyžadující platný podpis a SBOM.

Policy as Code a compliance

  • OPA/Kyverno: vynucení pravidel (např. runAsNonRoot, resource limity) při admit do clusteru.
  • Terraform policy (OPA/Sentinel): zákaz veřejných bucketů, povinné šifrování atd.
  • Auditní stopa: uchovávejte plan/apply artefakty, deployment manifesty a schválení.

Náklady a efektivita pipeline

  • Smart caching: cache závislostí a Docker vrstev; krátká expirace pro časté knihovny.
  • Paralelizace a matrice: současné běhy pro OS/arch/test shardy s limitem concurrency.
  • Self-hosted runneři: pro těžké buildy; auto-scale přes spot/přejmenované instance.

Multi-cloud a hybrid

  • Abstrakce: OCI image, Helm chart a OpenTelemetry udrží přenositelnost.
  • Separace přihlašování: OIDC role pro každý cloud; žádné sdílené klíče.
  • Federované GitOps: více Argo CD instancí per cloud, centralní app-of-apps vzor.

Serverless a event-driven specifika

  • Balíčkování: ZIP/OCI pro funkce (AWS Lambda, Cloud Functions) s handler kontrakty.
  • Infra změny: SAM/Serverless Framework/Terraform; canary alias (AWS Lambda) pro postupné rollouty.
  • Contract testy eventů: schema (JSON Schema/Avro) verzování a validace v CI.

Ukázka CI workflow (GitHub Actions)

Minimalistická kostra: build, test, SBOM, scan, podpis, push do registru, PR do environment repa.

name: ci
on: [push, pull_request]
jobs:
  build-test:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v4
    - uses: actions/setup-node@v4
      with: { node-version: 20 }
    - run: npm ci && npm run lint && npm test -- --ci
    - name: Build image
      run: docker buildx build -t ghcr.io/org/app:${{ github.sha }} .
    - name: SBOM
      run: syft packages ghcr.io/org/app:${{ github.sha }} -o cyclonedx-json > sbom.json
    - name: Scan
      run: trivy image --exit-code 1 --severity HIGH,CRITICAL ghcr.io/org/app:${{ github.sha }}
    - name: Push image
      run: echo $CR_PAT | docker login ghcr.io -u $GITHUB_ACTOR --password-stdin && docker push ghcr.io/org/app:${{ github.sha }}

Ukázka GitOps změny (Helm values)

CI vytvoří PR v environment repu, který změní tag image:

# env/prod/app/values.yaml
image:
  repository: ghcr.io/org/app
  tag: sha-abcd1234
rollout:
  strategy: canary
resources:
  limits: { cpu: "500m", memory: "512Mi" }

Kontrolní seznam pro produkční připravenost

  • Build je deterministický; image má SBOM a podpis (Cosign).
  • Testy: unit/integration/contract/E2E, minimální coverage a povinné quality gates.
  • Skener závislostí a image blokuje kritické CVE; license policy vynucena.
  • Secrets přes OIDC + trezor; žádné statické klíče v CI.
  • GitOps pro prostředí s drift detection; zákaz kubectl apply napřímo do produkce.
  • Strategie rolloutů (canary/blue-green) s automatickým ověřením SLO a rollbackem.
  • Terraform s plan/approve/apply, verzované moduly a auditní stopa.
  • Observabilita: metriky/logy/tracing, runbooky, alerty s nízkým šumem.

Nejčastější přešlapy a jak se jim vyhnout

  • Nasazení bez verifikace: chybí post-deploy test/telemetrie → zavádí se regresní chování.
  • Manuální zásahy: změny mimo Git → ztráta auditu, configuration drift.
  • Secrets v repozitáři: nahradit OIDC, skenovat historii tajemství (git-secrets, Gitleaks).
  • Neoddělené prostředí: sdílené databáze/test data → flakiness testů a riziko úniku.
  • Nereverzibilní migrace: chybí down skripty a expand/contract postup.

Závěr

Moderní CI/CD pro cloudové aplikace se opírá o standardizované artefakty (OCI image, SBOM), deklarativní nasazení (Helm/Kustomize), GitOps synchronizaci a bezpečnostní ochrany napříč celým řetězcem – od commitu po produkční traffic. Přidejte automatické ověřování SLO, inteligentní rollouty, správu tajemství přes OIDC a policy-as-code a získáte pipeline, která je rychlá, bezpečná a auditovatelná. Začněte od lehké kostry, iterujte k modulární architektuře a průběžně měřte dopad na lead time, změnovou nehodovost a spokojenost týmu – právě tyto metriky rozhodnou o úspěchu vašeho cloud-native doručování.

Značky:

Fatal error: Uncaught Error: Call to undefined function get_field() in /data/www/ekonomicka_sk/www/wp-content/themes/covernews/template-parts/content.php:57 Stack trace: #0 /data/www/ekonomicka_sk/www/wp-includes/template.php(812): require() #1 /data/www/ekonomicka_sk/www/wp-includes/template.php(745): load_template('/data/www/ekono...', false, Array) #2 /data/www/ekonomicka_sk/www/wp-includes/general-template.php(206): locate_template(Array, true, false, Array) #3 /data/www/ekonomicka_sk/www/wp-content/themes/covernews/single.php(22): get_template_part('template-parts/...', 'post') #4 /data/www/ekonomicka_sk/www/wp-includes/template-loader.php(106): include('/data/www/ekono...') #5 /data/www/ekonomicka_sk/www/wp-blog-header.php(19): require_once('/data/www/ekono...') #6 /data/www/ekonomicka_sk/www/index.php(17): require('/data/www/ekono...') #7 {main} thrown in /data/www/ekonomicka_sk/www/wp-content/themes/covernews/template-parts/content.php on line 57