GitHub Actions в Azure

GitHub Actions — встроенная в GitHub платформа CI/CD и автоматизации. Рабочие процессы определяются в файлах YAML, хранящихся в каталоге .github/workflows/ Вашего репозитория, и запускаются событиями GitHub — отправкой изменений, запросами на слияние, выпусками и другими событиями. GitHub Actions тесно интегрирована с экосистемой GitHub (задачами, запросами на слияние, пакетами и проверкой безопасности) и предоставляет обширный каталог действий сообщества для таких задач, как сборка, тестирование и развертывание в Azure.

Файл рабочего процесса GitHub Actions содержит три раздела верхнего уровня. on определяет события запуска. env задает глобальные переменные окружения. jobs определяет одно или несколько заданий, каждое из которых выполняется на runner (предоставленном GitHub или размещенном самостоятельно). Каждое задание состоит из шагов — либо run (скрипт оболочки), либо uses (готовое действие). По умолчанию задания выполняются параллельно; используйте needs, чтобы создавать последовательные зависимости.

Рекомендуемый способ аутентификации GitHub Actions в Azure — OpenID Connect (OIDC): он выдает краткоживущие токены без хранения долгоживущих секретов в GitHub. Настройте учетные данные федеративного удостоверения для регистрации приложения Azure или управляемого удостоверения, предоставив ему доверие к Вашему репозиторию и ветви GitHub. Используйте действие azure/login@v2, чтобы обменять токен GitHub OIDC на токен доступа Azure — клиентские секреты в секретах GitHub не требуются.

Действие azure/webapps-deploy@v3 развертывает код или образ контейнера в Azure App Service. Оно поддерживает развертывание в слот, развертывание пакета и развертывание образа Docker. Используйте его вместе с azure/login@v2 для аутентификации. Можно выбрать промежуточный слот, запустить дымовые тесты, а затем выполнить обмен слотов с помощью действия azure/CLI@v2, запускающего команду обмена слотами, — полностью воспроизведя модель развертывания blue-green из Azure Pipelines в GitHub Actions.

Развертывайте в AKS из GitHub Actions с помощью действия azure/k8s-deploy@v5. Это действие использует kubectl apply для развертывания манифестов, выполняет замену образа (заменяет тег образа тегом текущей сборки) и отслеживает работоспособность развертывания. Действие azure/aks-set-context@v4 настраивает учетные данные kubectl, получая kubeconfig кластера с помощью аутентифицированного сеанса Azure.

Храните конфиденциальные значения в секретах GitHub — зашифрованных значениях, доступных в рабочих процессах как ${{ secrets.SECRET_NAME }}. Неконфиденциальную конфигурацию размещайте в переменных GitHub — они доступны как ${{ vars.VARIABLE_NAME }}. И секреты, и переменные можно ограничить репозиторием, окружением или организацией. Используйте окружения в GitHub Actions, чтобы добавлять правила защиты (обязательных проверяющих и ветви развертывания), аналогичные окружениям Azure DevOps.

Окружения GitHub Actions (настраиваются в разделе Settings → Environments репозитория) добавляют этапы развертывания, аналогичные окружениям Azure DevOps. Можно требовать обязательного согласования проверяющих, которые должны одобрить запуск задания для этого окружения, ограничить развертывания определенными ветвями (только main может выполнять развертывание в Production) и добавить таймеры ожидания для задержки развертываний. Задания для защищенного окружения приостанавливаются, пока не будут выполнены все правила защиты.

Избегайте дублирования логики CI/CD между репозиториями, используя две возможности GitHub Actions. Повторно используемые рабочие процессы позволяют определить рабочий процесс в одном репозитории и вызывать его из рабочих процессов других репозиториев с помощью uses: myorg/shared-workflows/.github/workflows/deploy.yml@main. Составные действия объединяют несколько шагов в одно действие, хранящееся в репозитории и доступное для повторного использования с помощью uses: myorg/my-actions/deploy@v1. Оба подхода поддерживают принципы DRY в конвейерах CI/CD Вашей организации.

Выбирайте GitHub Actions, если Ваш код размещен на GitHub, команда предпочитает интерфейс GitHub, Вам нужна тесная интеграция с проверками запросов на слияние и сканированием кода GitHub или Вы создаете проекты с открытым исходным кодом (с большим количеством бесплатных минут). Выбирайте Azure Pipelines, если Вам нужна интеграция с Azure Boards, расширенное тестирование с Azure Test Plans, управление каналами Azure Artifacts, код находится в Azure Repos или требуется сложное многоэтапное управление выпусками с этапами согласования в многочисленных окружениях. Обе платформы одинаково хорошо поддерживают развертывание в Azure.

В каталоге GitHub Actions размещены тысячи действий сообщества и официальных действий для распространенных задач. Microsoft публикует официальные действия Azure: azure/login, azure/webapps-deploy, azure/aks-set-context, azure/k8s-deploy, azure/CLI, azure/arm-deploy и многие другие. Всегда закрепляйте действия за определенным тегом версии (например, @v3) или SHA фиксации, чтобы предотвратить атаки на цепочку поставок, при которых скомпрометированное действие обновляется вредоносным кодом.

Исполнители, размещенные GitHub, имеют доступ только к общедоступному Интернету — они не могут обращаться к частным ресурсам Azure (базам данных SQL, внутренним API), если не сделать эти ресурсы общедоступными. Для развертывания частных ресурсов используйте самостоятельно размещенные исполнители на виртуальных машинах Azure внутри Вашей виртуальной сети. Зарегистрируйте исполнителя, скачав агент исполнителя GitHub Actions, настроив его с URL-адресом репозитория и токеном регистрации, а затем запустив его как службу. Масштабируйте самостоятельно размещенные исполнители с помощью Azure Container Apps, чтобы создавать эластичные пулы исполнителей.

Проверьте свое понимание концепций Microsoft Azure Fundamentals (AZ-900) из этого урока.

В этом уроке Вы узнали, что рабочие процессы GitHub Actions — это файлы YAML в .github/workflows/, запускаемые событиями GitHub и выполняемые на исполнителях; федеративные учетные данные OIDC обеспечивают аутентификацию GitHub Actions в Azure без секретов; а окружения GitHub с правилами защиты добавляют этапы согласования для развертываний в рабочую среду. На этом курс Azure DevOps завершается — далее мы рассмотрим Azure Monitor и Log Analytics.