Infrastruktūra

CI patikros, kurios sustabdo blogus diegimus

Tegul CI patikros sąmoningai sustabdo blogus diegimus – kol produkcija netampa pirmuoju tikrintoju

2025 m. liepos 28 d.

Manweba

Žalias surinkimas, kuris vis tiek išleidžia viešą S3 saugyklą ar praleistą duomenų bazės migraciją, nėra CI – tai optimizmas. Politikos patikros „paprastai prisimename“ turi virsti „CI tiesiog neleidžia“. Tame ir esmė.

Atskirkite patikrinimą nuo išleidimo

Turėkite greitą patikrinimo juostą (kodo stilius, tipų patikra, vienetų testai) ir griežtesnę išleidimo juostą (integraciniai testai, politika kaip kodas, pasirašyti atvaizdai). Sumaišius viską į vieną lėtą užduotį, komandos išmoksta CI apeiti, kai vėluoja.

Privalomų patikrų pagrindinėje šakoje turi būti nedaug ir jos turi būti prasmingos. Nestabilios patikros dėl išvaizdos moko žmones spausti „apeiti“.

GitHub Actions: planas ir politika prieš taikymą

yaml

1jobs:
2  verify:
3    runs-on: ubuntu-latest
4    steps:
5      - uses: actions/checkout@v4
6      - run: pnpm install --frozen-lockfile
7      - run: pnpm typecheck
8      - run: pnpm test
9 
10  terraform-plan:
11    needs: verify
12    runs-on: ubuntu-latest
13    steps:
14      - uses: actions/checkout@v4
15      - run: terraform init -input=false
16      - run: terraform plan -out=tfplan
17      - run: terraform show -json tfplan > plan.json
18      - name: OPA policy gate
19        run: conftest test plan.json -p policy/

Loading code…

Politika, kuri įvardija problemą

Rašykite politikas jau priimtiems sprendimams: jokių viešų objektų saugyklų, privalomas šifravimas, jokių IAM pakaitos simbolių produkcijos rolėse. Nutraukite darbą su žinute, pagal kurią žmogus gali veikti, o ne su neapdorotu Rego klaidų išklotine.

Viešo S3 draudimas plano JSON faile

rego

1package main
2 
3deny[msg] {
4  resource := input.resource_changes[_]
5  resource.type == "aws_s3_bucket_public_access_block"
6  resource.change.after.block_public_acls == false
7  msg := sprintf(
8    "%s must block public ACLs",
9    [resource.address],
10  )
11}

Loading code…

Žmonių patikros lieka žmonėms

Pakeitimų taikymas produkcijoje vis tiek turėtų reikalauti aplinkos apsaugos taisyklės arba aiškaus patvirtinimo. Politika pagauna žinomus blogus sprendimus, žmonės – naujus. Vienas kito nepakeičia.

Užrašykite, kas patvirtino, koks atvaizdas išleistas ir kuris pakeitimas jį sukūrė. Auditai pigesni, kai CI istoriją jau užfiksavo.

Pradėkite nuo trijų patikrų

Jei kol kas neturite nieko: (1) testai turi praeiti, (2) infrastruktūros planas turi atitikti politiką, (3) diegimui į produkciją reikia patvirtinimo. Plėskite tik tada, kai tikras incidentas parodys trūkstamą patikrą, o ne tada, kai koks nors straipsnis išvardys dvidešimt įrankių.

Apibendrinimas

Geras CI – tai sąmoningų atmetimų grandinė. Tegul pipeline būna pirmasis žinomų rizikų tikrintojas, o žmonių patvirtinimus palikite sprendimams dėl produkcijos. Ir nepuoškite proceso patikromis, kuriomis niekas netiki.

Susiję straipsniai

Infrastruktūra

Stebėsena mažoms produkto komandoms

Pėdsakai, metrikos ir įspėjimai pagal komandą, kuri vis dar kas savaitę išleidžia naujas funkcijas

Skaityti straipsnį

Infrastruktūra

Privatus EKS ir RDS: ką iš tikrųjų reiškia „paruošta produkcijai“

Tinklo ribos, išeinančio srauto keliai ir patikros, kurios klasterį paverčia sistema, su kuria galima ramiai miegoti

Skaityti straipsnį

Norite, kad jūsų produktas būtų toks pat apgalvotas?

Žiūrėti paslaugas Pradėti projektą