Сборка и отправка образа при выпуске

Не следует отправлять образ при каждом коммите. Шаг выпуска собирает и публикует контейнер только тогда, когда Вы отмечаете версию как готовую. 📦

Распространённый подход запускает сборку при отправлении git-метки, например v1.2.0, поэтому развёртывание начинает осознанно выбранная версия, а не случайное отправление кода.

Сборка упаковывает API Вашей модели, её код и зависимости в один образ — зафиксированный запускаемый снимок, одинаково работающий на любой машине.

Реестр контейнеров, например GHCR, ECR или Docker Hub, — это место, где хранятся собранные образы, чтобы любой сервер мог позднее получить и запустить их.

Перед отправкой рабочий процесс входит в реестр с помощью сохранённого секрета, а не пароля, записанного в коде, поэтому учётные данные остаются за его пределами.

Присвойте образу понятную метку, соответствующую версии выпуска. Если использовать только latest повторно, определить, какая сборка запущена, будет невозможно.

Официальное действие Docker build-push собирает Ваш Dockerfile и одним шагом загружает результат в реестр.

Развёртывание зафиксированной метки, например v1.2.0, означает, что Вы всегда точно знаете, какие модель и код работают, и можете быстро вернуться к более ранней метке.

При сборке образа неизменившиеся слои повторно используются из кэша, поэтому пересобираются только действительно изменённые части. Благодаря этому сборки выпусков выполняются быстро.

После отправки среда выполнения просто получает образ с меткой и запускает его. В рабочую среду попадает тот же артефакт, который Вы тестировали, байт в байт.

Свяжите метку образа с выпуском GitHub и добавьте примечания об изменениях. Теперь любой человек сможет проследить путь работающего контейнера до его точных кода и модели.

Зачем помечать выпущенный образ версией, а не использовать только latest?

Для версии с меткой войдите с помощью секрета, соберите образ и отправьте его в реестр под зафиксированной меткой. Среда выполнения получает именно этот артефакт и запускает его.