高级 DevSecOps 管道定制

工具链和管道注意事项

大多数应用程序由具有不同源存储库的多个微服务组成。 通常，单个工具链用于托管逻辑分组的微服务。 通常，使用一个工具链和一个管道，或者使用尽可能少的管道，但使用多个触发器。 在每个管道中，您可以根据需要复制和配置任意数量的触发器，每个管道最多有 1024 个触发器。 此策略可帮助实施公共流程，脚本和配置文件。 有关更多信息，请参阅 在一个 CI 工具链上配置多个应用程序。

此方法具有以下优点:

• 使用较少的管道可避免重复并减少错误。 更新也更易于维护，例如，添加，编辑或删除环境属性或私钥时。
• 使用此方法可以更快地加载服务。 为微服务添加 Git 集成，复制 Git 和手动触发器，并根据需要进行修改。 然后，确保为您的微服务实现了 .pipeline-config.yaml 文件和脚本。

此方法具有以下缺点:

• 一次编辑会影响使用同一管道的每个团队。
• 用户访问权通过使用 Identity and Access Management(IAM) 进行管理，并且是在工具链级别 (而不是管道级别) 设置的。 因此，如果要将单个工具链用于多个服务，那么团队的每个成员都可以查看其他团队的管道。 根据用户在 IAM 中的访问权，他们可能能够编辑，删除或触发管道。

计费注意事项

Continuous Delivery 服务根据每个 CD 实例的授权用户数以及用于工具链的资源组数来确定计费。 有权访问存储库的用户也被视为授权用户。 有关更多信息，请参阅 授权用户。 要降低成本，请确保所有工具链都位于同一资源组中。 这样做不会影响工具链部署到包含应用程序环境的其他资源组的能力。

DevSecOps 存储库注意事项

如果要创建由多个微服务组成的应用程序，那么可以在微服务之间共享大多数 DevSecOps 存储库 (证据存储库除外)。

有关更多信息，请参阅 DevSecOps 管道如何使用存储库。

IBM Cloud Object Storage 注意事项

如果您正在使用共享库存存储库和共享问题存储库，那么还可以使用 IBM Cloud® Object Storage 的共享实例。 完成以下步骤：

1. 创建要在工具链和管道之间使用的 IBM Cloud Object Storage 实例。
2. 在该共享 IBM Cloud Object Storage 实例中，针对每个微服务创建一个 Object Storage 存储区。
3. 设置管道和触发器 (如果适用)，以通过设置 cos-bucket-name 环境属性来使用 IBM Cloud Object Storage 存储区。

同一 CI，CD 和 CC 管道中的所有微服务共享一个 Object Storage 存储区，而不考虑部署环境。 Object Storage 存储区的功能与证据存储库类似，但不存在大型证据存储库可能发生的性能问题。 由于大型 Object Storage 存储区不会发生性能问题，因此您无需从 Object Storage 存储区修剪证据。

部署到多个环境

可以通过多种方式将 CD 管道部署到多个目标环境。

每个 targeted environment 都应该在库存存储库中具有相应的分支，其中更改从 source 提升到 target 分支。

以下可选设计可能适合您的体系结构:

• 针对每个目标环境使用一个手动触发器。 复制触发器，然后编辑环境属性以适应新环境。
• 使用 Git 配置存储库，每个目标环境一个文件夹，其中特定配置设置存储在文件中。

确定要运行的脚本

要识别针对某个阶段运行的脚本，请打开管道运行 (最好是 CI 管道)。 展开任务，然后单击 run-stage 以打开日志。 run-stage 日志的开头提供了有关阶段中使用的脚本的信息，包括脚本所在的存储库。 在日志中，您可以滚动以查找有关已运行的脚本的更多详细信息。 例如，code-compliance-checks 任务可能在 run-stage 日志中具有以下信息，其中包括阶段的环境属性:

compliance-checks:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.18
  dind: true
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  script:
    #!/bin/sh

    "/opt/commons/compliance-checks/run.sh"

在该示例中，运行的脚本为 /opt/commons/compliance-checks/run.sh，它位于 commons library 中。 使用此公共库作为源来复制可针对特定边缘案例定制的代码。 在该示例中，compliance-checks/run.sh 位于 compliance-commons 库 中。

覆盖缺省脚本

要覆盖缺省脚本，请完成以下步骤:

1. 在阶段日志中，复制用于标识缺省脚本的片段:

compliance-checks:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.18
  dind: true
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  script:
    #!/bin/sh

    "/opt/commons/compliance-checks/run.sh"

1. 将片段粘贴到 .pipeline-config.yaml 文件中。
2. 在调用脚本之前或之后添加定制代码。
3. 根据需要编辑，删除或添加属性。

以下示例显示了 .pipeline-config.yaml 文件中的已更新脚本:

compliance-checks:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.18
  dind: true
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  script: |
    #!/bin/sh
    # run some custom script here
    ./scripts/my-custom-script1.sh

    "/opt/commons/compliance-checks/run.sh"

    # then some additional work
    ./scripts/my-custom-script2.sh

有关更多信息，请参阅 定制脚本。