GitHub Actions op Azure

GitHub Actions is het ingebouwde platform van GitHub voor CI/CD en automatisering. Workflows worden gedefinieerd in YAML-bestanden die zijn opgeslagen in de map .github/workflows/ van je opslagplaats en worden gestart door GitHub-gebeurtenissen — pushes, pull requests, releases en meer. GitHub Actions is diep geïntegreerd met het GitHub-ecosysteem (issues, PR's, pakketten en beveiligingsscans) en biedt een uitgebreide marketplace met acties van de community voor taken zoals bouwen, testen en implementeren naar Azure.

Een workflowbestand van GitHub Actions heeft drie secties op het hoogste niveau. on definieert de triggergebeurtenissen. env stelt globale omgevingsvariabelen in. jobs definieert een of meer taken, die elk worden uitgevoerd op een runner (door GitHub gehost of zelf gehost). Elke taak heeft steps — ofwel run (shellscript), ofwel uses (een vooraf gebouwde actie). Taken worden standaard parallel uitgevoerd; gebruik needs om opeenvolgende afhankelijkheden te maken.

De aanbevolen manier om GitHub Actions bij Azure te verifiëren is OpenID Connect (OIDC) — hiermee worden tokens met een korte geldigheidsduur uitgegeven, zonder dat je geheimen met een lange geldigheidsduur in GitHub hoeft op te slaan. Configureer een federated identity credential op een Azure App Registration of Managed Identity en geef deze vertrouwen voor je GitHub-opslagplaats en -branch. Gebruik de actie azure/login@v2 om het GitHub OIDC-token om te wisselen voor een Azure-toegangstoken — clientgeheimen in GitHub Secrets zijn niet nodig.

De actie azure/webapps-deploy@v3 implementeert code of een containerinstallatiekopie naar Azure App Service. De actie ondersteunt slotimplementaties, implementaties op basis van pakketten en implementaties van Docker-installatiekopieën. Combineer deze met azure/login@v2 voor verificatie. Je kunt een staging-slot als doel instellen, smoketests uitvoeren en vervolgens wisselen met de actie azure/CLI@v2, die de opdracht voor het wisselen van slots uitvoert — zo boots je het blue-green-implementatiepatroon van Azure Pipelines volledig na in GitHub Actions.

Implementeer vanuit GitHub Actions naar AKS met de actie azure/k8s-deploy@v5. Deze actie gebruikt kubectl apply om manifests te implementeren, voert vervanging van installatiekopieën uit (waarbij de tag van de installatiekopie wordt vervangen door de tag van de huidige build) en bewaakt de gezondheid van de uitrol. De actie azure/aks-set-context@v4 configureert de kubectl-referenties door de kubeconfig van het cluster op te halen met behulp van de geverifieerde Azure-sessie.

Sla gevoelige waarden op in GitHub Secrets — versleutelde waarden die in workflows toegankelijk zijn als ${{ secrets.SECRET_NAME }}. Niet-gevoelige configuratie hoort in GitHub Variables — toegankelijk als ${{ vars.VARIABLE_NAME }}. Beide kunnen worden beperkt tot een opslagplaats, omgeving of organisatie. Gebruik environments in GitHub Actions om beveiligingsregels toe te voegen (verplichte beoordelaars en implementatiebranches), vergelijkbaar met Azure DevOps Environments.

GitHub Actions Environments (geconfigureerd via Instellingen → Environments in de opslagplaats) voegen implementatiecontroles toe die vergelijkbaar zijn met Azure DevOps-omgevingen. Je kunt verplichte beoordelaars instellen die goedkeuring moeten geven voordat een taak voor de omgeving wordt uitgevoerd, implementaties beperken tot specifieke branches (alleen main mag naar Production implementeren) en wachttimers toevoegen om implementaties uit te stellen. Taken die gericht zijn op een beveiligde omgeving worden gepauzeerd totdat aan alle beveiligingsregels is voldaan.

Voorkom dat je CI/CD-logica in meerdere opslagplaatsen dupliceert met behulp van twee functies van GitHub Actions. Met herbruikbare workflows definieer je een workflow in één opslagplaats en roep je deze aan vanuit workflows in andere opslagplaatsen met uses: myorg/shared-workflows/.github/workflows/deploy.yml@main. Met samengestelde acties bundel je meerdere stappen in één actie die in een opslagplaats is opgeslagen en herbruikbaar is met uses: myorg/my-actions/deploy@v1. Beide bevorderen DRY-principes in de CI/CD-pijplijnen van je organisatie.

Kies GitHub Actions wanneer: je code op GitHub staat, je team de GitHub-gebruikersinterface verkiest, je een hechte integratie met controles voor GitHub PR's en codescans wilt of je opensourceprojecten bouwt (ruim bemeten gratis minuten). Kies Azure Pipelines wanneer: je integratie met Azure Boards nodig hebt, geavanceerd testen met Azure Test Plans wilt uitvoeren, Azure Artifacts-feeds moet beheren, je code in Azure Repos staat of je complex releasebeheer met meerdere fasen en controles over veel omgevingen nodig hebt. Beide ondersteunen implementatie naar Azure even goed.

De GitHub Actions Marketplace bevat duizenden acties van de community en officiële acties voor veelvoorkomende taken. Microsoft publiceert officiële Azure-acties: azure/login, azure/webapps-deploy, azure/aks-set-context, azure/k8s-deploy, azure/CLI, azure/arm-deploy en nog veel meer. Zet acties altijd vast op een specifieke versietag (bijvoorbeeld @v3) of een commit-SHA om aanvallen op de toeleveringsketen te voorkomen waarbij een gecompromitteerde actie wordt bijgewerkt met schadelijke code.

Door GitHub gehoste runners hebben alleen toegang tot het openbare internet — ze kunnen geen private Azure-resources (SQL-databases, interne API's) bereiken zonder deze resources openbaar toegankelijk te maken. Gebruik zelf gehoste runners op Azure-VM's binnen je VNet voor implementaties naar private resources. Registreer een runner door de GitHub Actions-runneragent te downloaden, deze te configureren met de URL van je opslagplaats en een registratietoken en de runner als service uit te voeren. Schaal zelf gehoste runners met Azure Container Apps voor elastische runnerpools.

In deze les heb je geleerd dat workflows van GitHub Actions YAML-bestanden in .github/workflows/ zijn, worden gestart door GitHub-gebeurtenissen en op runners worden uitgevoerd, dat OIDC-federated credentials verificatie bij Azure vanuit GitHub Actions zonder geheimen mogelijk maken en dat GitHub Environments met beveiligingsregels goedkeuringscontroles toevoegen aan productie-implementaties. Hiermee is de cursus Azure DevOps voltooid — hierna behandelen we Azure Monitor en Log Analytics.