GitHub Actions en Azure

GitHub Actions es la plataforma integrada de CI/CD y automatización de GitHub. Los workflows se definen en archivos YAML almacenados en el directorio .github/workflows/ del repositorio y se activan mediante eventos de GitHub, como envíos, solicitudes de incorporación de cambios, publicaciones y otros. GitHub Actions está profundamente integrado con el ecosistema de GitHub (issues, PR, paquetes y análisis de seguridad) y ofrece un amplio marketplace de acciones de la comunidad para tareas como compilar, probar e implementar en Azure.

Un archivo de workflow de GitHub Actions tiene tres secciones de nivel superior. on define los eventos que lo activan. env establece las variables de entorno globales. jobs define uno o varios trabajos, cada uno de los cuales se ejecuta en un runner (alojado por GitHub o autohospedado). Cada trabajo tiene steps, que pueden ser run (un script de shell) o uses (una acción prediseñada). De forma predeterminada, los trabajos se ejecutan en paralelo; use needs para crear dependencias secuenciales.

La forma recomendada de autenticar GitHub Actions en Azure es OpenID Connect (OIDC): emite tokens de corta duración sin almacenar secretos de larga duración en GitHub. Configure una credencial de identidad federada en un registro de aplicaciones de Azure o una identidad administrada, y concédale confianza para su repositorio y rama de GitHub. Use la acción azure/login@v2 para intercambiar el token OIDC de GitHub por un token de acceso de Azure; no se necesitan secretos de cliente en GitHub Secrets.

La acción azure/webapps-deploy@v3 implementa código o una imagen de contenedor en Azure App Service. Admite la implementación en slots, la implementación basada en paquetes y la implementación de imágenes de Docker. Combínela con azure/login@v2 para la autenticación. Puede seleccionar un slot de staging, ejecutar pruebas de humo y, después, intercambiarlo mediante la acción azure/CLI@v2, que ejecuta el comando de intercambio de slots, reproduciendo por completo el patrón de implementación blue-green de Azure Pipelines en GitHub Actions.

Implemente en AKS desde GitHub Actions mediante la acción azure/k8s-deploy@v5. Esta acción usa kubectl apply para implementar manifiestos, realiza la sustitución de imágenes (reemplaza la etiqueta de imagen por la etiqueta de la compilación actual) y supervisa el estado del lanzamiento. La acción azure/aks-set-context@v4 configura las credenciales de kubectl al obtener el kubeconfig del clúster mediante la sesión de Azure autenticada.

Almacene los valores confidenciales en GitHub Secrets, valores cifrados accesibles como ${{ secrets.SECRET_NAME }} en los workflows. Coloque la configuración no confidencial en GitHub Variables, accesible como ${{ vars.VARIABLE_NAME }}. Ambos pueden tener un ámbito de repositorio, entorno u organización. Use environments en GitHub Actions para agregar reglas de protección (revisores obligatorios y ramas de implementación), de forma similar a Azure DevOps Environments.

Los Environments de GitHub Actions (configurados en Configuración del repositorio → Environments) agregan puertas de implementación similares a las de los entornos de Azure DevOps. Puede exigir revisores obligatorios que deban aprobar antes de que se ejecute un trabajo dirigido al entorno, restringir las implementaciones a ramas específicas (solo main puede implementar en Production) y agregar temporizadores de espera para retrasar las implementaciones. Los trabajos dirigidos a un entorno protegido se pausan hasta que se cumplen todas las reglas de protección.

Evite duplicar la lógica de CI/CD entre repositorios mediante dos características de GitHub Actions. Los workflows reutilizables permiten definir un workflow en un repositorio y llamarlo desde workflows de otros repositorios mediante uses: myorg/shared-workflows/.github/workflows/deploy.yml@main. Las acciones compuestas agrupan varios pasos en una única acción almacenada en un repositorio, reutilizable mediante uses: myorg/my-actions/deploy@v1. Ambas promueven los principios DRY en los pipelines de CI/CD de su organización.

Elija GitHub Actions cuando: su código esté alojado en GitHub, su equipo prefiera la interfaz de GitHub, quiera una integración estrecha con las comprobaciones de PR y el análisis de código de GitHub, o esté desarrollando proyectos de código abierto (con una cantidad generosa de minutos gratuitos). Elija Azure Pipelines cuando: necesite integración con Azure Boards, pruebas avanzadas con Azure Test Plans, administración de fuentes de Azure Artifacts, tenga el código en Azure Repos o necesite una administración compleja de versiones en varias etapas, con puertas en muchos entornos. Ambos permiten implementar en Azure con la misma eficacia.

El GitHub Actions Marketplace alberga miles de acciones oficiales y de la comunidad para tareas habituales. Microsoft publica acciones oficiales de Azure: azure/login, azure/webapps-deploy, azure/aks-set-context, azure/k8s-deploy, azure/CLI, azure/arm-deploy y muchas más. Fije siempre las acciones a una etiqueta de versión específica (por ejemplo, @v3) o a un SHA de confirmación para evitar ataques a la cadena de suministro derivados de que una acción comprometida se actualice con código malicioso.

Los runners alojados por GitHub solo tienen acceso a Internet pública; no pueden acceder a recursos privados de Azure (bases de datos SQL y API internas) sin exponerlos públicamente. Use runners autohospedados en máquinas virtuales de Azure dentro de su VNet para implementar en recursos privados. Registre un runner descargando el agente de runners de GitHub Actions, configurándolo con la URL del repositorio y el token de registro, y ejecutándolo como servicio. Escale los runners autohospedados con Azure Container Apps para crear grupos de runners elásticos.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que los workflows de GitHub Actions son archivos YAML ubicados en .github/workflows/, activados por eventos de GitHub y ejecutados en runners; las credenciales federadas de OIDC permiten autenticar GitHub Actions en Azure sin secretos; y los GitHub Environments con reglas de protección agregan puertas de aprobación a las implementaciones en producción. Con esto finaliza el curso de Azure DevOps; a continuación, estudiaremos Azure Monitor y Log Analytics.