アプリケーション関連リポジトリー

CIツールチェーンをゼロからセットアップする場合は、CIツールチェーン作成時にこれらのリポジトリを設定する。

インベントリー

配備情報はこのリポジトリを使って追跡される。 CIパイプラインが成功するたびに、CDパイプラインは作成されたCR番号と同じ名前の新しいブランチを作成し、デプロイが完了した後にmasterにマージします。 例えば、https://<region>.git.cloud.ibm.com/myorg/my-compliance-ci-inventory です。

問題

ビルドおよびデプロイメントプロセス中に発生したインシデントに関する問題を保存します。 例えば、https://<region>.git.cloud.ibm.com/myorg/my-compliance-ci-issues です。

エビデンス

アプリケーションに属する生のコンプライアンス証拠をすべて収集する。 例えば、https://<region>.git.cloud.ibm.com/myorg/my-compliance-ci-evidence です。

ツール・チェーン

パイプライン、トリガー、リスナーなどのtektonパイプライン定義は、このリポジトリに格納されています。 例えば、https://<region>.git.cloud.ibm.com/myorg/my-compliance-ci-toolchain です。

CIツールチェインからリポジトリ名を取得したら、 Guided Setup 、CDツールチェインの作成を開始する。 セットアッププロセス中、各リポジトリに対して、既存の IBM がホストする Git Repos and Issue Tracking リポジトリに URL を指定することができます。 現在のところ、ツールチェーンは Git Repos and Issue Tracking リポジトリの作成のみをサポートしている。 将来のリリースでは、 GitHub, GitHub Enterprise (GHE) やその他の SCM プロバイダを使用したリポジトリの作成がサポートされます。

インベントリー

インベントリー・リポジトリーは、CI ツールチェーンでビルドされた成果物の詳細を記録するものです。 ツールチェーンのデフォルトの動作は、「 既存のインベントリを使用する 」で、ツールチェーンの既存のインベントリ・リポジトリをリンクします。 ツールチェーンは現在、既存の Git Repos and Issue Tracking リポジトリへのリンクのみをサポートしている。 詳細については、アプリケーション関連リポジトリ を参照してください。

1. テンプレートで提供されるデフォルトの設定を受け入れることができます。
2. 「続行」 をクリックします。

問題

issueリポジトリには、CIパイプラインの実行中に見つかったissueが記録される。

1. テンプレートで提供されるデフォルトの設定を受け入れることができます。
2. 続けるをクリック

パイプライン構成

パイプライン設定リポジトリには、デプロイ、テスト、その他のカスタムタスクに必要な YAML ファイルとスクリプトが含まれています。 Git リポジトリについての詳細は、Git Repos and Issue Tracking を参照してください。 カスタマイズ可能なスクリプトの詳細については、カスタムスクリプト を参照してください。

1. Source Provider および Create new deployment configuration repository のデフォルト設定を受け入れます。

   ツールチェーンは、 Git 組織内の サンプル hello-compliance-deployment をクローンします。 Git リポジトリの詳細については、 Git Repos and Issue Tracking の設定を 参照してください。 カスタマイズ可能なスクリプトの詳細については、カスタムスクリプト を参照してください。

2. 新しいリポジトリ名を入力します。

3. 「続行」 をクリックします。

秘密

このツールチェインに含まれるいくつかのツール、そしておそらくカスタマイズ可能なスクリプトには、特権リソースにアクセスするためのシークレットが必要です。 IBM Cloud API キーもそのようなシークレットの例の 1 つです。 これらの秘密は、次のような秘密管理ツールに安全に保管してください。 IBM Key Protect for IBM Cloud, IBM Cloud® Secrets Manager または HashiCorp Vault. 秘密管理ツール をツールチェーンに統合することで、Tektonパイプラインの秘密を簡単に参照できるようになります。

秘密の値を読み取るには AppRole 認証メソッドを使用して秘密の値を読み取ることができます。

1. このチュートリアルでは、IBM Cloud® Secrets Managerをシークレットの保管庫として使用します。 地域、リソースグループ、およびサービス名フィールドは、利用可能な選択肢に基づいて自動的に入力されます。 ドロップダウンインジケータをクリックすると、他の選択肢が表示されます。
2. Secrets Manager インスタンス名を入力します。
3. ドロップダウンリストから認証タイプを選択します。
4. 「続行」 をクリックします。

エビデンス・ストレージ

エビデンスロッカーは、 DevSecOps CIパイプラインによって生成されるすべてのエビデンスと成果物を保管する。

1. 既存の証拠品ロッカーリポジトリを使用するを選択します。
2. 継続的インテグレーション（CI）ツールチェーンを設定した際に作成されたリポジトリ URL を選択します。 証拠保管の詳細については、証拠 を参照してください。
3. IBM Cloud Object Storageバケットスライダを切り替えて、IBM Cloud Object Storageバケットに全ての証拠を格納する。
4. 「続行」 をクリックします。

クラウド Object Storage バケット

IBM Cloud Object Storage インスタンス と、コンプライアンス証拠保管庫として機能する バケット が必要です。

1. Cloud Object Storageインスタンス、バケット名、CloudObject Storageエンドポイントフィールドは自動的に入力されます。
2. サービスID APIキーを入力します。
   • 好ましい：既存の鍵は、鍵アイコンをクリックしてシークレット保管庫からインポートできます。
   • 既存のキーをコピー＆ペーストすることもできる。
3. 「続行」 をクリックします。

エンドポイント・フィールドは任意である。 ツールチェインのセットアップ中またはパイプラインの実行中に、エンドポイントを選択または指定することを推奨します。

デプロイ

アプリケーションをデプロイするインベントリターゲットと Kubernetes クラスタを設定します：

1. デフォルトのアプリ名は hello-compliance-app です。

2. IBM Cloud API Keyを入力してください。 APIキーは、いくつかのタスクで IBM Cloud CLIツールと対話するために使用されます。

   • 好ましい：既存の鍵は、鍵アイコンをクリックしてシークレット保管庫からインポートできます。
   • 既存のキーをコピー＆ペーストすることもできる。
   • 新しいキーは、ここで「 New +」をクリックして作成できます。

   新しく生成されたAPIキーは、すぐに秘密の保管庫に保存することができる。

3. APIキーが有効で十分なアクセス権がある場合、Container Registry, Container Registry 名前空間, デブ・クラスター地域, リソースグループ, クラスタ名, クラスタ名前空間 が自動的に入力されます。 これらのフィールドは、あなたの設定に合わせて変更することができます。

4. 「続行」 をクリックします。

IBM Cloud API キー

APIキーは、いくつかのタスクで ibmcloud CLIツールと対話するために使用されます。

• 既存のAPIキーは、前提条件として作成された既存のシークレットプロバイダ・インタンスからインポートすることができます（推奨）
• 既存のキーをコピー＆ペーストすることができる（推奨しない）
• New + をクリックすると、新しいキーを作成できます。もし持っていなければ、api-key を生成してください。 新しく生成する API キーは、既存の Key Protect インスタンスにすぐに保存できます。

API Keyフィールドが入力されると、レジストリとクラスタ関連のフィールドが自動的に入力される。

インベントリーのターゲット・ブランチとソース・ブランチ

1. Single cluster (push based deployment) を使用して仮想サーバー インスタンスなどのターゲットにアプリケーションをデプロイしたり、デプロイ プロセスをカスタマイズしたりするには、Custom オプションを使用します。
2. 続行をクリックしてクラスタページを表示します。
3. IBM CloudAPIキー・フィールドを入力し、CLIツールといくつかのタスクでやり取りします。 注意既存の鍵は、鍵アイコンをクリックすることで、秘密金庫からインポートすることができます。
4. Verify your クラスター地域, リソースグループ, クラスタ名, and クラスタ名前空間 fields where your target cluster is created.
5. 「続行」 をクリックします。

変更要求管理

1. IBM Cloud がホストしている Git Repos and Issue Tracking リポジトリを選択し、変更リクエストを管理します。 詳細については、変更管理の自動化 を参照してください。
2. 「続行」 をクリックします。

DevOps Insightsツールチェーン

既存の DevOps Insights インスタンスを別のツールチェーンからこのパイプラインにリンクして、CI および CD ツールチェーンパイプラインからのすべてのビルド、デプロイ、およびテストレコードを同じ場所に集めることができるようにします。

CD ツールチェーンは、既存の DevOps Insights インスタンスにデプロイメントレコードをパブリッシュできます。 この機能を有効にするには、既存のDevOps Insightsインスタンスを含むツールチェーンのIDを、DevOps InsightsツールチェーンIDリストで選択して指定します。

1. DevOps Insights IBM Cloud API Key を入力します。
2. デフォルトの設定を受け入れる。
3. 地域、リソースグループ、DevOps Insights toolchain ID、DevOps Insights target environment の各フィールドで、ターゲット環境を作成します。
4. 「続行」 をクリックします。

既存のDevOps Insightsツールチェーンへのリンク

DevOps Insights 作成されたツールチェーンにオプションで含めることができ、各コンプライアンス・チェックの証拠が公表される。 ツールチェーンは、既存の DevOps Insights インスタンスを使用して、デプロイメントレコードを insights にパブリッシュすることができる。 統合IDを指定することで、他のツールチェーンから DevOps Insights。

1. 現在のツールチェーンを受け入れます。
2. 「続行」 をクリックします。

ツールチェーン ID はツールチェーンの URL からコピーできます。 ツールチェーンの URL は次のパターンに従っている： https://cloud.ibm.com/devops/toolchains/<toolchain-ID-comes-here>?env_id=ibm:yp:us-south. URL が https://cloud.ibm.com/devops/toolchains/aaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee?env_id=ibm:yp:us-south の場合、ツールチェーンのIDは： aaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee. URL の完全なURLではなく、IDのみを含めてください。

また、 DevOps Insights インタラクションのターゲット環境を設定することもできる。 このパラメータはオプションで、インベントリのターゲット環境の代わりに使用されます。

オプションのツール

プライベート・ワーカー

デリバリーパイプラインプライベートワーカーツールの統合は、デリバリーパイプラインワークロードを分離して実行できる1つ以上のプライベートワーカーと接続します。 詳しくは、プライベート・ワーカーの操作を参照してください。

1. 配送パイプラインプライベートワーカーの 名前 を入力します。
2. サービスID APIキーを入力します。
   • 好ましい：既存の鍵は、鍵アイコンをクリックしてシークレット保管庫からインポートできます。
   • 既存のキーをコピー＆ペーストすることもできる。
3. 「続行」 をクリックします。

プロモーション・パイプラインの実行

プロモーションパイプラインを実行する前に、 CIパイプラインが 正常に実行されたことを確認してください。

1. cd-pipeline をクリックします。

2. 手動プロモーション・トリガーパイプラインの実行をクリックします。

3. 実行をクリックしてパイプラインを起動します。

4. Manual Promotion Trigger > #1promotion-pipelinerun パイプラインをクリックします。 プロモーション・パイプラインの実行が完了するのを待ち、実行ログを確認します。

   プロモーションパイプラインは、 staging や production などのインベントリターゲット環境ブランチをターゲットとした、 master ブランチなどのインベントリソース環境上のインベントリの内容でプルリクエストを作成します。

5. プロモーションパイプラインが正常に終了すると、 promote タスクログにインベントリリポジトリのプルリクエストへのリンクが表示されます。 プルリクエスト名は、例えば promote master to prod のように、promote <inventory source environment> to <inventory target environment> という形式です

6. ログに記載されているリンクから、ブラウザでプルリクエストを開いてください。 以下のセクションに詳細を記入してください：

   • Priority: (必須) Critical、High、Moderate、Low、Planning のいずれかに設定。
   • 変更リクエストの譲受人: (必須) Email-ID 譲受人の名前。
   • 追加説明 ：アプリケーションの変更に関する説明。
   • 目的/目標 ：アプリケーションに加えられる変更の目的。
   • 影響の説明 ：アプリケーションの動作や環境への変更の影響。
   • バックアウトプラン: 配備に失敗した場合のバックアウトの手順。

7. プルリクエストのフィールドに入力し、 保存をクリックします。

8. CIでのコンプライアンス・チェックが失敗し、配備を続ける したい場合は、プル・リクエストに EMERGENCY ラベルを追加する

9. Git Repos and Issue Trackingからのプルリクエストをマージしてください。

プルリクエストの詳細は、変更リクエストリポジトリの作成と更新のために実行されるCDパイプラインで使用されます。

プロモーション・パイプラインの実行

1. Promotion Pipeline を実行する前に、CIパイプラインが正常に実行されたことを確認する。

2. プロモーションパイプラインは、インベントリソース環境上にインベントリの内容を持つ Pull Request を作成します。 たとえば、master のブランチは、staging や prod のようなインベントリー・ターゲット環境のブランチをターゲットにしています。 その PR 用に中間ブランチが作成されます。PR がマージされたら、これは廃棄することができます。

   

3. Promotion Pipeline が正常に終了すると、 promote タスクがインベントリリポジトリ内の前述の Pull Request へのリンクを提供します。 プルリクエスト名は以下の形式です：

   promote <Inventory Source Environment> to <Inventory Target Environment>
   

4. ログに記録されているリンクを使用して、ブラウザーでPull Requestを開きます。 各セクションを以下のように記入してください：

   • 優先度 (Priority): (必須) 重大 (Critical)、高 (High)、中 (Moderate)、低 (Low)、計画 (Planning) のいずれか
   • 変更要求の受託者 (Change Request assignee): (必須) 受託者の E メール ID
   • 追加の説明 (Additional Description): アプリケーションの変更内容に関する説明
   • 目的 (Purpose): アプリケーションに対して行われた変更の目的
   • 影響の説明 (Explanation of Impact): アプリケーションの動作や環境への変更の影響
   • バックアウトプラン：デプロイに失敗した場合のバックアウトの手順

5. Pull Requestの各フィールドに値を入力して、保存します。

6. Git Repos and Issue Tracking から Pull Request をマージする。

Pull Request の詳細は、CDパイプラインがCDパイプラインの実行中に変更要求管理リポジトリに変更要求を作成するために使用される。

CD パイプラインの実行

CDパイプラインは手動または自動でトリガーできる。 CDパイプラインはいつでも手動で起動できますが、前回成功したデプロイメントから変更がない場合、CDパイプラインはデプロイするものがないとして早期に停止します。 Git Repos and Issue Trackingトリガーは、自動CDパイプラインを起動するように設定されていますが、デフォルトでは無効になっており、最初のpromotion.You force-redeploy 変数 を追加して使用することで、コードを変更することなくCDを再実行することができます。 DevSecOps CD パイプラインの成功した画面キャプチャを表示します。

また、いつでも CD Pipelineを手動でトリガーできますが、最後にデプロイメントが正常に実行された後に変更が行われていなければ、CD Pipelineで新たにデプロイされるものは何もありません。

CD パイプラインの正常実行は次のようになります。

CD パイプラインのタスクのフロー:

CDパイプラインが正常に実行されると、prodネームスペースで実行されているサンプルアプリを見つけることができます。 アプリの URL が、CD パイプライン実行の run stage ステップの prod deployment サブステップに表示されます。 その URL を使用して、アプリが稼働中であることを確認できます。