GitHub Actions i Azure

GitHub Actions er GitHubs innebygde plattform for CI/CD og automatisering. Workflows defineres i YAML-filer som lagres i .github/workflows/-mappen i repositoriet, og utløses av GitHub-hendelser – push, pull requests, releaser og mer. GitHub Actions er tett integrert med GitHub-økosystemet (issues, PR-er, pakker og sikkerhetsskanning) og tilbyr en omfattende markedsplass med community actions for oppgaver som bygging, testing og utrulling til Azure.

En workflow-fil for GitHub Actions har tre seksjoner på øverste nivå. on definerer utløsende hendelser. env angir globale miljøvariabler. jobs definerer én eller flere jobber, som hver kjører på en runner (hostet av GitHub eller selvhostet). Hver jobb har steps – enten run (skallskript) eller uses (en forhåndsbygd action). Jobber kjører parallelt som standard; bruk needs for å opprette sekvensielle avhengigheter.

Den anbefalte måten å autentisere GitHub Actions mot Azure på er OpenID Connect (OIDC) – dette utsteder kortvarige tokens uten å lagre langvarige hemmeligheter i GitHub. Konfigurer en federert identitetslegitimasjon på en Azure App Registration eller Managed Identity, og gi den tillit til GitHub-repositoriet og branchen Deres. Bruk actionen azure/login@v2 til å utveksle GitHub OIDC-tokenet mot et Azure-tilgangstoken – det er ikke nødvendig med klienthemmeligheter i GitHub Secrets.

Actionen azure/webapps-deploy@v3 ruller ut kode eller et containerimage til Azure App Service. Den håndterer utrulling til slot, pakkebasert utrulling og utrulling av Docker-image. Kombiner den med azure/login@v2 for autentisering. De kan rette utrullingen mot et staging-slot, kjøre smoketester og deretter bytte slot med actionen azure/CLI@v2, som kjører kommandoen for slotbytte – og dermed gjenskape Azure Pipelines-mønsteret for blue-green-utrulling fullt ut i GitHub Actions.

Rull ut til AKS fra GitHub Actions ved hjelp av actionen azure/k8s-deploy@v5. Denne actionen bruker kubectl apply til å rulle ut manifester, utfører image-substitusjon (erstatter imagetagen med tagen fra det aktuelle bygget) og overvåker utrullingens helsetilstand. Actionen azure/aks-set-context@v4 konfigurerer kubectl-legitimasjon ved å hente klyngens kubeconfig ved hjelp av den autentiserte Azure-økten.

Lagres sensitive verdier i GitHub Secrets – krypterte verdier som er tilgjengelige som ${{ secrets.SECRET_NAME }} i workflows. Ikke-sensitive konfigurasjoner legges i GitHub Variables – tilgjengelige som ${{ vars.VARIABLE_NAME }}. Begge kan avgrenses til et repository, et miljø eller en organisasjon. Bruk environments i GitHub Actions for å legge til beskyttelsesregler (obligatoriske godkjennere og utrullingsbrancher), på samme måte som Azure DevOps Environments.

Environments i GitHub Actions (konfigureres under Innstillinger → Environments i repositoriet) legger til utrullingsporter på samme måte som miljøer i Azure DevOps. De kan kreve required reviewers som må godkjenne før en jobb som retter seg mot miljøet, kjører, begrense utrullinger til bestemte brancher (bare main kan rulle ut til Production) og legge til ventetider for å utsette utrullinger. Jobber som retter seg mot et beskyttet miljø, settes på pause til alle beskyttelsesreglene er oppfylt.

Unngå å duplisere CI/CD-logikk på tvers av repositories ved å bruke to funksjoner i GitHub Actions. Gjenbrukbare workflows lar Dem definere en workflow i ett repository og kalle den fra workflows i andre repositories ved hjelp av uses: myorg/shared-workflows/.github/workflows/deploy.yml@main. Composite actions samler flere trinn i én action som lagres i et repository, og kan gjenbrukes med uses: myorg/my-actions/deploy@v1. Begge fremmer DRY-prinsipper på tvers av organisasjonens CI/CD-pipelines.

Velg GitHub Actions når: koden ligger på GitHub, teamet foretrekker GitHub-grensesnittet, De ønsker tett integrasjon med GitHub-kontroller av PR-er og kodeskanning, eller De bygger open source-prosjekter (sjenerøst antall gratis minutter). Velg Azure Pipelines når: De trenger integrasjon med Azure Boards, avansert testing med Azure Test Plans, administrasjon av Azure Artifacts-feeds, koden ligger i Azure Repos, eller De trenger kompleks releasehåndtering med flere stadier og porter på tvers av mange miljøer. Begge støtter utrulling til Azure like godt.

GitHub Actions Marketplace inneholder tusenvis av community- og offisielle actions for vanlige oppgaver. Microsoft publiserer offisielle Azure-actions: azure/login, azure/webapps-deploy, azure/aks-set-context, azure/k8s-deploy, azure/CLI, azure/arm-deploy og mange flere. Lås alltid actions til en bestemt versjonstagg (for eksempel @v3) eller en commit-SHA for å forhindre angrep på leverandørkjeden, der en kompromittert action oppdateres med skadelig kode.

GitHub-hostede runners har bare tilgang til det offentlige internett – de kan ikke nå private Azure-ressurser (SQL-databaser og interne API-er) uten at ressursene eksponeres offentlig. Bruk selvhostede runners på Azure-VM-er i VNet-et Deres for utrullinger til private ressurser. Registrer en runner ved å laste ned GitHub Actions-runneragenten, konfigurere den med URL-en til repositoriet og et registreringstoken, og kjøre den som en tjeneste. Skaler selvhostede runners med Azure Container Apps for elastiske runner-pooler.

I denne leksjonen har De lært at GitHub Actions-workflows er YAML-filer i .github/workflows/ som utløses av GitHub-hendelser og kjøres på runners, at OIDC-federerte legitimasjoner muliggjør hemmelighetsfri Azure-autentisering fra GitHub Actions, og at GitHub Environments med beskyttelsesregler legger til godkjenningsporter for produksjonsutrullinger. Dette fullfører Azure DevOps-kurset – neste tema er Azure Monitor og Log Analytics.