CI/CD 完整流水线

GitOps 仓库分离最佳实践

成熟的 GitOps 实践要求将应用代码仓库和配置仓库（Config Repo）分离。将两者混在一起会导致 CI/CD 耦合、权限难以控制、历史记录混乱等问题。

双仓库 GitOps 架构

┌──────────────────────────────────────────────────────────────────────────┐
│                     应用代码仓库 (my-org/my-app)                          │
│  src/          tests/         Dockerfile         .github/workflows/      │
│  应用源代码      单元测试        构建镜像             CI Pipeline             │
└──────────────────────────────────┬───────────────────────────────────────┘
                                    │ CI: 构建镜像，推送 GHCR
                                    │ CI: 更新配置仓库的 image tag
┌──────────────────────────────────▼───────────────────────────────────────┐
│                    配置仓库 (my-org/my-app-config)                        │
│  apps/                                                                    │
│  └── my-app/                                                              │
│      ├── base/                   (通用 K8s 资源)                          │
│      └── overlays/               (环境差异化配置)                         │
│          ├── dev/ → image:v1.6   (dev 环境最新)                           │
│          ├── staging/ → image:v1.5 (staging 稳定版)                       │
│          └── prod/ → image:v1.4  (prod 慢更新)                            │
└──────────────────────────────────┬───────────────────────────────────────┘
                                    │ ArgoCD Poll（每3分钟）
┌──────────────────────────────────▼───────────────────────────────────────┐
│                  K8s 集群（ArgoCD 自动同步）                              │
└──────────────────────────────────────────────────────────────────────────┘

GitHub Actions CI 完整流程

以下是一个生产级的 GitHub Actions CI 工作流，完成从代码提交到更新配置仓库的全流程：

# .github/workflows/ci.yaml（应用代码仓库）
name: CI Pipeline
on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}

jobs:
  test:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v4
    - name: Run Tests
      run: make test

  build-push:
    needs: test
    runs-on: ubuntu-latest
    if: github.ref == 'refs/heads/main'   # 只有 main 分支才构建推送
    permissions:
      contents: read
      packages: write
    outputs:
      image_tag: ${{ steps.meta.outputs.version }}
    steps:
    - uses: actions/checkout@v4

    - name: Set up Docker Buildx
      uses: docker/setup-buildx-action@v3

    - name: Login to GHCR
      uses: docker/login-action@v3
      with:
        registry: ${{ env.REGISTRY }}
        username: ${{ github.actor }}
        password: ${{ secrets.GITHUB_TOKEN }}

    - name: Extract metadata
      id: meta
      uses: docker/metadata-action@v5
      with:
        images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
        tags: |
          type=sha,prefix=,format=short
          type=raw,value=latest

    - name: Build and push
      uses: docker/build-push-action@v5
      with:
        context: .
        push: true
        tags: ${{ steps.meta.outputs.tags }}
        labels: ${{ steps.meta.outputs.labels }}
        cache-from: type=gha
        cache-to: type=gha,mode=max

  update-config:
    needs: build-push
    runs-on: ubuntu-latest
    steps:
    - name: Checkout config repo
      uses: actions/checkout@v4
      with:
        repository: my-org/my-app-config
        token: ${{ secrets.CONFIG_REPO_PAT }}   # PAT 需要配置仓库写权限

    - name: Install kustomize
      uses: imranismail/setup-kustomize@v2

    - name: Update image tag in dev overlay
      run: |
        cd apps/my-app/overlays/dev
        kustomize edit set image \
          ghcr.io/my-org/my-app=ghcr.io/my-org/my-app:${{ needs.build-push.outputs.image_tag }}
        git config user.name "github-actions[bot]"
        git config user.email "github-actions[bot]@users.noreply.github.com"
        git add .
        git commit -m "chore: update my-app to ${{ needs.build-push.outputs.image_tag }}"
        git push

Argo Rollouts：渐进式交付

Argo Rollouts 是 Argo 生态的渐进式交付控制器，提供比原生 Kubernetes Deployment 更强大的发布策略，与 ArgoCD 深度集成。

# Argo Rollouts 金丝雀发布示例
apiVersion: argoproj.io/v1alpha1
kind: Rollout
metadata:
  name: my-app
spec:
  replicas: 10
  strategy:
    canary:
      steps:
      - setWeight: 5            # 5% 流量切到新版本
      - pause:
          duration: 5m         # 等待 5 分钟观察
      - analysis:              # 自动指标分析
          templates:
          - templateName: error-rate
      - setWeight: 25
      - pause:
          duration: 10m
      - setWeight: 50
      - pause:
          duration: 10m
      - setWeight: 100         # 全量切换
  selector:
    matchLabels:
      app: my-app
  template:
    spec:
      containers:
      - name: my-app
        image: ghcr.io/my-org/my-app:v2.0.0

Argo Workflows vs ArgoCD

企业级落地经验

完整架构总结

企业级 GitOps 完整架构

┌────────────────────────────────────────────────────────────────────────┐
│                         开发人员推送代码                                 │
└──────────────────────────────────┬─────────────────────────────────────┘
                                    ↓
┌──────────────────────────────────▼─────────────────────────────────────┐
│                     GitHub Actions CI                                  │
│  ① 运行单元测试 → ② 构建 Docker 镜像 → ③ 推送到 GHCR → ④ 更新配置仓库   │
└──────────────────────────────────┬─────────────────────────────────────┘
                                    ↓ PR 自动合并 or 人工审批
┌──────────────────────────────────▼─────────────────────────────────────┐
│                     配置仓库 (my-app-config)                           │
│  Kustomize overlays  |  Helm values  |  Application CRDs               │
└──────────────────────────────────┬─────────────────────────────────────┘
                                    ↓ ArgoCD Poll / Webhook
┌──────────────────────────────────▼─────────────────────────────────────┐
│                     ArgoCD (Hub 集群)                                  │
│  Application CRD  |  AppProject RBAC  |  Notifications  |  Prometheus   │
└──────┬──────────────────────┬──────────────────────┬────────────────────┘
       ↓ auto-sync           ↓ auto-sync            ↓ auto-sync
┌──────▼──────────┐  ┌───────▼─────────┐  ┌──────▼──────────────┐
│   Dev 集群      │  │  Staging 集群  │  │  Prod 集群           │
│ Argo Rollouts   │  │ Argo Rollouts  │  │ Argo Rollouts Canary │
└─────────────────┘  └─────────────────┘  └─────────────────────┘