当前位置：首页 > article >正文

基于容器本地化开发与交付的实践

article 2025/1/31 1:31:19

一、镜像优化与高效构建

1. 多阶段构建 (Multi-stage Build)

目的：减少生产镜像体积，剥离构建依赖。
示例（以 Go 应用为例）：

# 第一阶段：构建环境
FROM golang:1.19 AS builder
WORKDIR /app
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o myapp .

# 第二阶段：生产环境
FROM alpine:3.16
WORKDIR /app
COPY --from=builder /app/myapp .
CMD ["./myapp"]

效果：最终镜像从 ~1GB 缩减至 ~10MB。

2. 选择轻量级基础镜像

推荐镜像：
- alpine：适用于静态编译语言（Go、Rust）。
- distroless（Google 维护）：无 Shell 和包管理器，安全性高。
- slim 版本（如 python:3.9-slim）：适用于 Python、Node.js。

3. 利用缓存加速构建

Dockerfile 最佳实践：

将频繁变化的步骤（如 COPY . .）放在文件末尾。

固定版本号避免缓存失效：

# 错误写法：可能导致版本升级后缓存失效
RUN pip install requests
# 正确写法
RUN pip install requests==2.28.1

二、本地 CI/CD 管道搭建

1. 使用 Jenkins 实现自动化构建

步骤：

安装 Jenkins：

docker run -d -p 8080:8080 -v jenkins-data:/var/jenkins_home jenkins/jenkins:lts

配置 Pipeline（Jenkinsfile 示例）：

pipeline {
  agent any
  stages {
    stage('Build') {
      steps {
        sh 'docker build -t myapp:${BUILD_NUMBER} .'
      }
    }
    stage('Test') {
      steps {
        sh 'docker run myapp:${BUILD_NUMBER} ./run-tests.sh'
      }
    }
    stage('Deploy') {
      steps {
        sh 'kubectl apply -f k8s/deployment.yaml'
      }
    }
  }
}

2. GitLab CI 集成

配置 .gitlab-ci.yml：

stages:
  - build
  - deploy

build_image:
  stage: build
  script:
    - docker build -t myapp:${CI_COMMIT_SHORT_SHA} .
    - docker save -o myapp.tar myapp:${CI_COMMIT_SHORT_SHA}
  artifacts:
    paths:
      - myapp.tar

deploy_k8s:
  stage: deploy
  script:
    - docker load -i myapp.tar
    - kubectl apply -f k8s/deployment.yaml

三、离线环境全流程管理

1. 离线依赖打包

APT 离线包下载：

# 在有网的机器下载依赖
apt-get download $(apt-cache depends --recurse --no-recommends --no-suggests --no-conflicts --no-breaks --no-replaces --no-enhances <package> | grep "^\w" | sort -u)
# 将 .deb 文件拷贝到离线环境安装
dpkg -i *.deb

Python PIP 离线包：

pip download -r requirements.txt --dest ./packages
# 离线安装
pip install --no-index --find-links=./packages -r requirements.txt

2. 全镜像离线迁移

导出所有依赖镜像：

docker save -o images.tar myapp:1.0 redis:alpine nginx:1.23

在离线环境导入：
```
docker load -i images.tar
```

四、私有仓库安全与维护

1. Harbor 安全配置

启用 HTTPS：
修改 harbor.yml：

https:
  port: 443
  certificate: /etc/harbor/ssl/cert.pem
  private_key: /etc/harbor/ssl/key.pem

角色权限控制：
在 Harbor 控制台创建项目，分配用户权限（开发者仅限推送，运维者可删除）。

2. 镜像漏洞扫描

Trivy 集成：
在 CI 管道中添加扫描步骤：

docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image myapp:1.0

五、复杂场景实战：微服务本地调试

1. 使用 Telepresence 连接本地与集群

场景：在本地开发一个微服务，实时调试 Kubernetes 集群中的其他服务。

步骤：

安装 Telepresence：

# macOS
brew install datawire/blackbird/telepresence
# Linux
curl -s https://packagecloud.io/install/repositories/datawireio/telepresence/script.deb.sh | sudo bash
sudo apt install telepresence

拦截集群流量到本地：

telepresence intercept <service-name> --port 8080:8080

本地启动服务：
开发机运行服务后，集群流量将自动路由到本地。

2. 使用 K8s 管理集群

安装与使用：

# 安装
brew install derailed/k9s/k9s
# 运行
k9s

功能：实时监控 Pod、查看日志、进入容器终端。

六、监控与日志

1. Prometheus + Grafana 监控

部署到本地 Kubernetes：

安装 Prometheus Operator：

kubectl apply -f https://raw.githubusercontent.com/prometheus-operator/prometheus-operator/main/bundle.yaml

部署 Grafana：

kubectl apply -f https://raw.githubusercontent.com/grafana/grafana/main/k8s/grafana-deployment.yaml

2. ELK 日志收集

使用 Elasticsearch、Fluentd、Kibana：

部署 Elasticsearch：

kubectl apply -f https://download.elastic.co/downloads/eck/2.5.0/operator.yaml

配置 Fluentd 日志采集：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: fluentd
spec:
  template:
    spec:
      containers:
      - name: fluentd
        image: fluent/fluentd-kubernetes-daemonset:v1.16-debian-elasticsearch7-1
        env:
          - name: FLUENT_ELASTICSEARCH_HOST
            value: "elasticsearch-logging"

七、关键问题排障指南

问题现象	排查命令
Pod 处于 Pending 状态	`kubectl describe pod <pod-name>` → 查看事件日志。
服务无法访问	`kubectl port-forward svc/<service-name> 8080:80` → 测试本地访问。
镜像拉取失败	`kubectl get events --field-selector involvedObject.name=<pod-name>`
节点资源不足	`kubectl top nodes` → 查看 CPU/内存使用。
网络策略冲突	`kubectl get networkpolicy` → 检查是否阻止了流量。