ci: bump infra image.tag прямым коммитом в main вместо auto-MR
propose-prod-image-bump открывал MR в ordinis-infra на каждый release. MR никто не мерджил — накопилось 5+ открытых, image.tag в values отставал на несколько релизов, и infra deploy-prod (helm upgrade -f values-prod.yaml) откатывал prod на старый образ. Переименован в commit-prod-image-bump: коммитит bump image.tag в values-prod.yaml + values-staging.yaml напрямую в infra main с rebase-retry. Убран промежуточный MR и 405-квирк при merge вечно-manual инфра-пайплайна. Токену нужна роль Maintainer для push в protected main (было Developer); api-scope больше не нужен.
This commit is contained in:
Zimin A.N.
+49
-42
@@ -79,8 +79,8 @@ default:
|
||||
# 3. Release commit body содержит `[skip ci]` → GitLab матчит → пропускает
|
||||
# tag pipeline (semantic-release/gitlab plugin создаёт tag, но pipeline
|
||||
# на этот tag-ref скипается).
|
||||
# 4. Без tag pipeline нет images → нет propose-prod-image-bump → нет
|
||||
# auto-PR в infra → manual escape потребуется.
|
||||
# 4. Без tag pipeline нет images → нет commit-prod-image-bump → нет
|
||||
# bump'а в infra → manual escape потребуется.
|
||||
#
|
||||
# Реальный случай: v2.16.1 (2026-05-12) — fix(release): 'remove [skip ci] из
|
||||
# semantic-release commit message'. Auto-changelog содержал эту строку →
|
||||
@@ -102,7 +102,7 @@ commit-msg-lint:
|
||||
script:
|
||||
# Runner не имеет outbound к dl-cdn.alpinelinux.org (Permission denied) —
|
||||
# переадресуем apk на internal Nexus mirror. Это нужно во всех Alpine
|
||||
# jobs (commit-msg-lint, build-docs ниже, propose-prod-image-bump).
|
||||
# jobs (commit-msg-lint, build-docs ниже, commit-prod-image-bump).
|
||||
- sed -i 's|https://dl-cdn.alpinelinux.org/alpine|https://repo.nstart.cloud/repository/alpine|g' /etc/apk/repositories
|
||||
# apk update обязателен ПОСЛЕ repo swap: image приходит с pre-cached
|
||||
# APKINDEX (старые package versions). Без update apk ищет старые .apk
|
||||
@@ -690,25 +690,33 @@ release:
|
||||
# кластере. Disaster-recovery `helm upgrade ... -f values-prod.yaml`
|
||||
# rolled back prod на несколько версий назад.
|
||||
#
|
||||
# Решение. На каждый успешный release tag ordinis CI открывает MR в
|
||||
# ordinis-infra обновляющий `image.tag` в values-prod.yaml на новый
|
||||
# immutable tag (e.g. v2-16-0-<sha>). MR — single review point: после
|
||||
# approve и merge infra pipeline auto-катит этот же tag через deploy-prod
|
||||
# (rules: changes: charts/**/*).
|
||||
# Решение. На каждый успешный release tag ordinis CI коммитит обновление
|
||||
# `image.tag` в values-prod.yaml + values-staging.yaml на новый immutable
|
||||
# tag (e.g. v2-16-0-<sha>) ПРЯМО в ordinis-infra main.
|
||||
#
|
||||
# Промежуточного MR нет. Раньше bump шёл через auto-MR — но его никто не
|
||||
# мерджил: накопилось 5+ открытых MR, values отставали на несколько
|
||||
# релизов, и infra `deploy-prod` (helm upgrade -f values-prod.yaml)
|
||||
# откатывал prod на старый образ. Direct commit убирает ручной шаг —
|
||||
# нет MR, нет 405-квирка при merge вечно-manual инфра-пайплайна.
|
||||
#
|
||||
# Git становится единственным источником истины: HEAD ordinis-infra
|
||||
# main всегда отражает что задеплоено на prod.
|
||||
#
|
||||
# Setup ONE-TIME (см. RELEASE.md):
|
||||
# 1. Создать group-level Access Token в 2-6/2-6-4/terravault group:
|
||||
# - role: Developer на ordinis-infra (363)
|
||||
# - scopes: write_repository, api
|
||||
# - role: Maintainer на ordinis-infra (нужен push в protected main;
|
||||
# Developer-роль push в protected branch не имеет)
|
||||
# - scopes: write_repository
|
||||
# 2. Settings → CI/CD → Variables в ORDINIS project:
|
||||
# INFRA_PROJECT_TOKEN = <token> (Masked, Protected)
|
||||
# 3. ordinis-infra → Settings → Repository → Protected branches → main:
|
||||
# "Allowed to push" должен покрывать этот токен (роль Maintainer
|
||||
# покрывает по умолчанию).
|
||||
#
|
||||
# Trigger: только на semver tag (pipeline created semantic-release'ом).
|
||||
# Allow_failure: true — manual deploy backup path остаётся если что.
|
||||
propose-prod-image-bump:
|
||||
commit-prod-image-bump:
|
||||
stage: release
|
||||
image: repo.nstart.cloud/library/alpine:3.20
|
||||
needs:
|
||||
@@ -732,17 +740,16 @@ propose-prod-image-bump:
|
||||
- if: '$CI_COMMIT_TAG =~ /^v[0-9]+\.[0-9]+\.[0-9]+$/'
|
||||
when: on_success
|
||||
variables:
|
||||
INFRA_PROJECT_ID: "368"
|
||||
INFRA_REPO_PATH: "2-6/2-6-4/terravault/ordinis-infra"
|
||||
before_script:
|
||||
- |
|
||||
if [ -z "$INFRA_PROJECT_TOKEN" ]; then
|
||||
echo "═══════════════════════════════════════════════════════════════"
|
||||
echo "INFRA_PROJECT_TOKEN is empty — skipping auto-PR creation."
|
||||
echo "INFRA_PROJECT_TOKEN is empty — skipping image bump."
|
||||
echo ""
|
||||
echo "Setup (one-time):"
|
||||
echo " 1. group 2-6/2-6-4/terravault → Settings → Access Tokens"
|
||||
echo " scopes: write_repository + api, role: Developer"
|
||||
echo " scope: write_repository, role: Maintainer (push в protected main)"
|
||||
echo " 2. ordinis project (367) → Settings → CI/CD → Variables"
|
||||
echo " add INFRA_PROJECT_TOKEN = <token>"
|
||||
echo " flags: Masked + Protected (tag pipelines is Protected ref)"
|
||||
@@ -754,39 +761,33 @@ propose-prod-image-bump:
|
||||
# Internal Alpine mirror — см. commit-msg-lint выше для контекста.
|
||||
- sed -i 's|https://dl-cdn.alpinelinux.org/alpine|https://repo.nstart.cloud/repository/alpine|g' /etc/apk/repositories
|
||||
- apk update
|
||||
- apk add --no-cache git curl jq
|
||||
- apk add --no-cache git
|
||||
script:
|
||||
- |
|
||||
set -euo pipefail
|
||||
|
||||
IMAGE_TAG="${CI_COMMIT_REF_SLUG}-${CI_COMMIT_SHORT_SHA}"
|
||||
VERSION="${CI_COMMIT_TAG}"
|
||||
BRANCH="auto/bump-prod-image-${VERSION}"
|
||||
INFRA_API="${CI_API_V4_URL}/projects/${INFRA_PROJECT_ID}"
|
||||
|
||||
echo "Tag: $VERSION"
|
||||
echo "Image tag: $IMAGE_TAG"
|
||||
echo "Target branch: $BRANCH"
|
||||
echo "Target: ordinis-infra main (direct commit)"
|
||||
echo ""
|
||||
|
||||
# 1. Clone infra (shallow для скорости).
|
||||
# 1. Clone infra main (shallow для скорости).
|
||||
git clone --depth=10 --branch=main \
|
||||
"https://oauth2:${INFRA_PROJECT_TOKEN}@${CI_SERVER_HOST}/${INFRA_REPO_PATH}.git" infra
|
||||
cd infra
|
||||
git config user.email "ci@ordinis.local"
|
||||
git config user.name "ordinis-ci-bot"
|
||||
|
||||
# Branch может остаться от прошлой неудачной попытки — clean delete.
|
||||
git push origin --delete "$BRANCH" 2>/dev/null || true
|
||||
git checkout -b "$BRANCH"
|
||||
|
||||
# 2. Patch values-prod.yaml + values-staging.yaml — заменяем image.tag.
|
||||
#
|
||||
# Patching ОБА файлов в одном MR. Зачем: до 2026-05-13 staging
|
||||
# Patching ОБА файла. Зачем: до 2026-05-13 staging
|
||||
# values файл не задавал image.tag и default `:latest` + IfNotPresent
|
||||
# давал stale cache на нодах. Зафиксили (infra MR !22), теперь
|
||||
# staging тоже на immutable SHA. Чтобы оба env'а не drift'или —
|
||||
# auto-PR bump'ит обе values файла lock-step.
|
||||
# bump'им обе values файла lock-step.
|
||||
#
|
||||
# Awk c stateful scope-tracking: ищем `image:` block (top-level, без
|
||||
# leading spaces), затем заменяем ` tag: ...` строку. Не трогаем
|
||||
@@ -821,29 +822,35 @@ propose-prod-image-bump:
|
||||
exit 0
|
||||
fi
|
||||
|
||||
# 4. Commit + push branch.
|
||||
# 4. Commit прямо в main.
|
||||
# printf '%b' разворачивает \n в реальные newlines внутри одной shell
|
||||
# строки — избегаем multi-line YAML quoting issues (literal block scalar
|
||||
# ломается на unindented continuation lines).
|
||||
git add charts/ordinis/values-prod.yaml charts/ordinis/values-staging.yaml
|
||||
COMMIT_MSG=$(printf '%b' "chore(release): bump prod+staging image к ${IMAGE_TAG}\n\nAuto-generated ordinis-CI release pipeline. Patches values-prod.yaml AND values-staging.yaml в lock-step.\n\nSource: ${CI_PROJECT_URL}/-/commit/${CI_COMMIT_SHA}\nPipeline: ${CI_PIPELINE_URL}\nTag: ${VERSION}")
|
||||
git commit -m "$COMMIT_MSG"
|
||||
git push origin "$BRANCH"
|
||||
|
||||
# 5. Create MR через GitLab API.
|
||||
MR_DESC=$(printf '%b' "Auto-generated ordinis CI release pipeline после semantic-release ${VERSION}.\n\n**Что меняется:** \`image.tag\` в \`charts/ordinis/values-prod.yaml\` И \`charts/ordinis/values-staging.yaml\` → \`${IMAGE_TAG}\` (immutable SHA tag, гарантирует что ноды pull'нут именно этот digest, и оба env'а на одном release).\n\n**Source:**\n- Ordinis commit: ${CI_PROJECT_URL}/-/commit/${CI_COMMIT_SHA}\n- Tag pipeline: ${CI_PIPELINE_URL}\n\n**Deploy после merge:** infra-pipeline auto-катит helm upgrade в \`ordinis-staging\` (auto) и \`ordinis-prod\` (manual-gated \`deploy-prod\` job).\n\n**Verify checklist:**\n- [ ] CI 'helm-lint' pipeline зелёный (validate charts)\n- [ ] После merge play 'deploy-prod' job (staging авто-катится)\n- [ ] \`curl https://ordinis.k8s.264.nstart.cloud/api/v1/version\` (prod) показывает \`commit: ${CI_COMMIT_SHORT_SHA}\` и \`tag: ${VERSION}\`\n- [ ] \`curl https://ordinis.k8s.265.nstart.cloud/api/v1/version\` (staging) тот же commit/tag\n- [ ] Pods Running на обоих env (no split-brain)")
|
||||
# 5. Push в main. До 5 попыток с rebase — если main подвинулся
|
||||
# между clone и push (параллельный release, ручной коммит).
|
||||
attempt=0
|
||||
until [ "$attempt" -ge 5 ]; do
|
||||
if git push origin HEAD:main; then
|
||||
echo "✓ Bump запушен в ordinis-infra main."
|
||||
break
|
||||
fi
|
||||
attempt=$((attempt + 1))
|
||||
echo "Push отклонён (main подвинулся?) — rebase, попытка ${attempt}/5."
|
||||
git fetch origin main
|
||||
git rebase origin/main
|
||||
done
|
||||
if [ "$attempt" -ge 5 ]; then
|
||||
echo "ERROR: push в main не прошёл после 5 попыток." >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
curl -sS --fail \
|
||||
--request POST \
|
||||
--header "PRIVATE-TOKEN: ${INFRA_PROJECT_TOKEN}" \
|
||||
--data-urlencode "source_branch=${BRANCH}" \
|
||||
--data-urlencode "target_branch=main" \
|
||||
--data-urlencode "title=chore(release): bump prod image к ${VERSION}" \
|
||||
--data-urlencode "description=${MR_DESC}" \
|
||||
--data-urlencode "remove_source_branch=true" \
|
||||
--data-urlencode "labels=release,auto-generated" \
|
||||
"${INFRA_API}/merge_requests" \
|
||||
| jq -r '"MR создан: " + .web_url'
|
||||
# Не блокирует tag pipeline если auto-PR не получился (token отсутствует,
|
||||
# transient API error и т.п.). Manual MR в infra остаётся всегда доступен.
|
||||
echo ""
|
||||
echo "Деплой: новый infra main pipeline auto-катит staging,"
|
||||
echo "deploy-prod остаётся manual-gated."
|
||||
# Не блокирует tag pipeline если bump не прошёл (token отсутствует,
|
||||
# transient git error и т.п.). Manual bump в infra остаётся доступен.
|
||||
allow_failure: true
|
||||
|
||||
Reference in New Issue
Block a user