Configurar la entrega continua en gitlab.com

Una vez pensé en automatizar la implementación de mi proyecto. gitlab.com amablemente proporciona todas las herramientas para esto, y por supuesto decidí usarlo después de ordenar y escribir un pequeño script de implementación. En este artículo, comparto mi experiencia con la comunidad.

TL; DR

1. Configurar VPS: deshabilitar root, inicio de sesión con contraseña, instalar dockerd, configurar ufw
2. Genere certificados para el servidor y el cliente docs.docker.com/engine/security/https/#create-a-ca-server-and-client-keys-with-openssl Habilite el control dockerd a través del socket tcp: elimine la opción -H fd: / / desde la configuración de Docker.
3. Registrar rutas de certificados en docker.json
4. Regístrese en variables gitlab en configuraciones CI / CD con contenido de certificado. Escriba un script .gitlab-ci.yml para la implementación.

Mostraré todos los ejemplos en el kit de distribución de Debian.

Configuración inicial de VPS

Entonces, compró una instancia, por ejemplo, en DO , lo primero que debe hacer es proteger su servidor del agresivo mundo exterior. No probaré ni reclamaré nada, solo mostraré los mensajes log / var / log / de mi servidor virtual:


Primero, instale el firewall ufw:

apt-get update && apt-get install ufw 

Active la política predeterminada: bloquee todas las conexiones entrantes, permita todas las conexiones salientes:

 ufw default deny incoming ufw default allow outgoing 

Importante: no olvides permitir la conexión ssh:

 ufw allow OpenSSH 

La sintaxis general es: Permitir una conexión de puerto: ufw allow 12345, donde 12345 es el número de puerto o el nombre del servicio. Negar: ufw negar 12345

Encienda el firewall:

 ufw enable 

Salimos de la sesión e iniciamos sesión nuevamente a través de ssh.

Agregue al usuario, asígnele una contraseña y agréguelo al grupo sudo.

 apt-get install sudo adduser scoty usermod -aG sudo scoty 

A continuación, de acuerdo con el plan, debe deshabilitar la entrada de contraseña. Para hacer esto, copie su clave ssh al servidor:

 ssh-copy-id root@10.101.10.28 

Su servidor ip debe ser especificado. Intente iniciar sesión con el usuario creado anteriormente, ya no necesita ingresar una contraseña. A continuación, en la configuración, cambie lo siguiente:

 sudo nano /etc/ssh/sshd_config 

desactivar la entrada de contraseña:

 PasswordAuthentication no 

Reinicia el demonio sshd:

 sudo systemctl reload sshd 

Ahora, si usted u otra persona intenta iniciar sesión como root, no funcionará.

A continuación, configure dockerd, no describiré el proceso aquí, ya que todo se puede cambiar, siga el enlace al sitio web oficial y siga los pasos para instalar Docker en su máquina virtual: https://docs.docker.com/install/linux/docker- ce / debian /

Generación de certificados

Para administrar el docker daemon de forma remota, se requiere una conexión TLS cifrada. Para hacer esto, debe tener un certificado y una clave, que se deben generar y transferir a su máquina remota. Siga los pasos que se dan en las instrucciones del sitio web oficial de Docker: https://docs.docker.com/engine/security/https/#create-a-ca-server-and-client-keys-with-openssl Todos generados * .pem los archivos para el servidor, a saber, ca.pem, server.pem, key.pem deben colocarse en el directorio / etc / docker en el servidor.

Configuración de Dockerd

En la secuencia de comandos para iniciar el demonio docker, elimine la opción -H df: //, esta opción responde qué host puede controlar el demonio docker.

 # At /lib/systemd/system/docker.service [Service] Type=notify ExecStart=/usr/bin/dockerd 

A continuación, cree un archivo de configuración, si aún no está allí, y prescriba opciones:


Habilitemos las conexiones en el puerto 2376:

 sudo ufw allow 2376 

Reinicie dockerd con la nueva configuración:

 sudo systemctl daemon-reload && sudo systemctl restart docker 

Comprobar:

 sudo systemctl status docker 

Si todo es verde, creemos que hemos configurado con éxito la ventana acoplable en el servidor.

Configuración de deleivery continuo en gitlab

Para que el trabajador de gitalab pueda ejecutar comandos en el host remoto de la ventana acoplable, es necesario determinar cómo y dónde almacenar los certificados y la clave para una conexión cifrada con dockerd. Resolví este problema simplemente escribiéndolo en variables en la configuración de gitlbab:


Simplemente muestre el contenido de los certificados y la clave a través de cat: cat ca.pem . Copie y pegue en el valor de las variables.

Escribamos el script para la implementación a través de gitlab. Se usará la imagen docker-in-docker (dind).


El contenido del script de implementación con comentarios:


El principal problema era "extraer" el contenido de los certificados en forma normal de las variables de gitlab CI / CD. No podía entender por qué la conexión al host remoto no funcionaba. En el host, miré el registro de sudo journalctl -u docker, hay un error de apretón de manos. Decidí mirar lo que generalmente se almacena en las variables, para esto puede ver cat -A $ DOCKER_CERT_PATH / key.pem. El error se superó al agregar la eliminación del símbolo de carro tr -d '\ r'.

Además en el script, puede agregar tareas posteriores al lanzamiento a su discreción. Puede ver la versión de trabajo en mi repositorio https://gitlab.com/isqad/gitlab-ci-cd