GitHub Actions i Azure

GitHub Actions er GitHubs indbyggede platform til CI/CD og automatisering. Workflows defineres i YAML-filer, der gemmes i dit repositories .github/workflows/-bibliotek, og udløses af GitHub-hændelser — pushes, pull requests, udgivelser og meget mere. GitHub Actions er tæt integreret med GitHub-økosystemet (issues, PR'er, pakker og sikkerhedsscanning) og giver adgang til en omfattende markedsplads med community-actions til opgaver som opbygning, test og udrulning til Azure.

En workflow-fil til GitHub Actions har tre sektioner på øverste niveau. on definerer udløsende hændelser. env angiver globale miljøvariabler. jobs definerer et eller flere job, som hver især kører på en runner (hostet af GitHub eller selvhostet). Hvert job har trin — enten run (shell-script) eller uses (en forudbygget action). Job kører som standard parallelt; brug needs til at oprette sekventielle afhængigheder.

Den anbefalede måde at godkende GitHub Actions til Azure på er OpenID Connect (OIDC) — det udsteder kortlivede tokens uden at gemme langlivede hemmeligheder i GitHub. Konfigurér en federeret identitetslegitimationsoplysning på en Azure App Registration eller Managed Identity, og giv den tillid til dit GitHub-repository og din branch. Brug azure/login@v2-actionen til at udveksle GitHub OIDC-tokenet med et Azure-adgangstoken — der kræves ingen client secrets i GitHub Secrets.

azure/webapps-deploy@v3-actionen udruller kode eller et containeraftryk til Azure App Service. Den håndterer slotudrulning, pakke-baseret udrulning og udrulning af Docker-aftryk. Kombinér den med azure/login@v2 til godkendelse. Du kan målrette et staging-slot, køre smoke tests og derefter skifte slot med azure/CLI@v2-actionen, der kører kommandoen til slotudskiftning — og dermed genskabe Azure Pipelines-mønstret for blue-green-udrulning helt i GitHub Actions.

Udrul til AKS fra GitHub Actions ved hjælp af azure/k8s-deploy@v5-actionen. Denne action bruger kubectl apply til at udrulle manifests, udfører udskiftning af aftryk (erstatter aftrykkets tag med tagget fra den aktuelle build) og overvåger udrulningens tilstand. azure/aks-set-context@v4-actionen konfigurerer kubectl-legitimationsoplysninger ved at hente klyngens kubeconfig ved hjælp af den godkendte Azure-session.

Gem følsomme værdier i GitHub Secrets — krypterede værdier, der er tilgængelige som ${{ secrets.SECRET_NAME }} i workflows. Ikke-følsom konfiguration placeres i GitHub Variables — tilgængelig som ${{ vars.VARIABLE_NAME }}. Begge dele kan begrænses til et repository, et miljø eller en organisation. Brug environments i GitHub Actions til at tilføje beskyttelsesregler (påkrævede godkendere og udrulningsbranches), svarende til Azure DevOps Environments.

GitHub Actions Environments (konfigureret under repositoryets Settings → Environments) tilføjer udrulningskontroller, der minder om Azure DevOps-miljøer. Du kan kræve påkrævede godkendere, som skal godkende, før et job, der er målrettet miljøet, kører, begrænse udrulninger til bestemte branches (kun main kan udrulle til Production) og tilføje ventetimere for at forsinke udrulninger. Job, der er målrettet et beskyttet miljø, sættes på pause, indtil alle beskyttelsesregler er opfyldt.

Undgå at duplikere CI/CD-logik på tværs af repositories ved at bruge to funktioner i GitHub Actions. Genanvendelige workflows lader dig definere et workflow i ét repository og kalde det fra workflows i andre repositories ved hjælp af uses: myorg/shared-workflows/.github/workflows/deploy.yml@main. Composite actions samler flere trin i én action, der gemmes i et repository og kan genbruges med uses: myorg/my-actions/deploy@v1. Begge dele fremmer DRY-principper på tværs af organisationens CI/CD-pipelines.

Vælg GitHub Actions, når: din kode er hostet på GitHub, dit team foretrækker GitHub-brugerfladen, du ønsker tæt integration med GitHub PR-kontroller og kodescanning, eller du bygger open source-projekter (mange gratis minutter). Vælg Azure Pipelines, når: du har brug for integration med Azure Boards, avanceret test med Azure Test Plans, administration af Azure Artifacts-feeds, koden ligger i Azure Repos, eller du har brug for kompleks udgivelsesstyring i flere stadier med kontroller på tværs af mange miljøer. Begge understøtter udrulning til Azure lige godt.

GitHub Actions Marketplace indeholder tusindvis af community-actions og officielle actions til almindelige opgaver. Microsoft udgiver officielle Azure-actions: azure/login, azure/webapps-deploy, azure/aks-set-context, azure/k8s-deploy, azure/CLI, azure/arm-deploy og mange flere. Fastlås altid actions til et bestemt versionstag (f.eks. @v3) eller en commit-SHA for at forhindre angreb på softwareforsyningskæden, hvor en kompromitteret action opdateres med skadelig kode.

GitHub-hostede runners har kun adgang til det offentlige internet — de kan ikke nå private Azure-ressourcer (SQL-databaser og interne API'er) uden at eksponere ressourcerne offentligt. Brug selvhostede runners på Azure-VM'er i dit VNet til udrulninger til private ressourcer. Registrér en runner ved at downloade GitHub Actions-runneragenten, konfigurere den med URL'en til dit repository og et registreringstoken og køre den som en tjeneste. Skaler selvhostede runners med Azure Container Apps for at få elastiske runner-pools.

I denne lektion har du lært, at workflows i GitHub Actions er YAML-filer i .github/workflows/, som udløses af GitHub-hændelser og køres på runners, at OIDC-federerede legitimationsoplysninger muliggør godkendelse til Azure fra GitHub Actions uden hemmeligheder, og at GitHub Environments med beskyttelsesregler tilføjer godkendelseskontroller til produktionsudrulninger. Dette afslutter kurset i Azure DevOps — næste emne er Azure Monitor og Log Analytics.