构建（ 建（build） ） 2 目 目录 录 3 第 1 章 理解镜像构建 1.1. 构建（BUILD） 构建 (build)是将输入参数转换为结果对象的过程。此过程最常用于将输入参数或源代码转换为可运行的镜 像。BuildConfig 对象是整个构建过程的定义。 OpenShift Container Platform 使用 Kubernetes，从构建镜像创建容器并将它们推送到容器镜像 S2I 的优点包括： 镜像灵活性 可以编写 S2I 脚本，将应用程序代码注入到几乎所有现有的 Docker 格式容器镜像，以此利用 现有的生态系统。请注意，S2I 目前依靠 tar 来注入应用程序源代码，因此镜像需要能够处理 tar 压缩的内容。 OpenShift Container Platform 4.4 构 构建（ 建（build） ） 4 速度 使用 S2I 时，汇编过程可以执行大 BuildConfig，并且可以随时对其进行编辑。如果选择稍后手动更改配置，则了解 BuildConfig 的组成部分及可用选项可能会有所帮助。 以下示例 BuildConfig 在每次容器镜像标签或源代码改变时产生新的构建： BuildConfig 对象定 象定义 此规格会创建一个名为 ruby-sample-build 的新 BuildConfig。 runPolicy 字段控制从此构建配置创建的构建能否同时运行。默认值为

构建 使用 OpenShift 构建时，您可以使用声明性构建过程创建云原生应用程序。您可以在用于创建 BuildConfig 对象的 YAML 文件中定义构建过程。此定义包括构建触发器、输入参数和源代码等属性。部 署之后，BuildConfig 对象通常构建可运行的镜像并将其推送到容器镜像 registry。 OpenShift 构建为构建策略提供以下可扩展的支持： Docker 构建 So CI/CD 概述 概述 3 第 2 章 构建（BUILD） 2.1. 理解镜像构建 2.1.1. Builds 构建 (build) 是将输入参数转换为结果对象的过程。此过程最常用于将输入参数或源代码转换为可运行的 镜像。BuildConfig 对象是整个构建过程的定义。 OpenShift Container Platform 使用 Kubernetes，从构建镜像创建容器并将它们推送到容器镜像 Source-to-image 构 构建 建 Source-to-Image (S2I) 是一种用于构建可重复生成的容器镜像的工具。它通过将应用程序源代码注入容 器镜像并汇编新镜像来生成可随时运行的镜像。新镜像融合了基础镜像（构建器）和构建的源代码，并可 搭配 buildah run 命令使用。S2I 支持递增构建，可重复利用以前下载的依赖项和过去构建的工件等。 2.1.1.3. Custom

SAMPLES OPERATOR 镜像流 第 第 4 章 章 创 创建 建镜 镜像 像 4.1. 学习容器最佳实践 4.2. 包括镜像中的元数据 4.3. 使用 SOURCE-TO-IMAGE 从源代码创建镜像 4.4. 关于测试 SOURCE-TO-IMAGE 镜像 第 第 5 章 章 管理 管理镜 镜像 像 5.1. 管理镜像概述 5.2. 标记镜像 5.3. 镜像拉取（PULL）策略 5 对于计划运行由第三方提供的应用程序代码的镜像，例如专为运行由开发人员提供的 Ruby 代码而设计的 Ruby 镜像，您可以让镜像与 Source-to-Image (S2I) 构建工具协同工作。S2I 是一个框架，便于编写以应 用程序源代码为输入的镜像和生成以运行汇编应用程序为输出的新镜像。 4.1.2.2. 支持任意用 支持任意用户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 3. 使用 SOURCE-TO-IMAGE 从源代码创建镜像 Source-to-Image (S2I) 是一种框架，它可以轻松地将应用程序源代码作为输入，生成可运行编译的应用 OpenShift Container Platform 4.14 镜 镜像 像 30 Source-to-Image (S2I) 是一种框架，它可以轻松地将应用程序源代码作为输入，生成可运行编译的应用 程序的新镜像。

11.6. 使用 DEVELOPER 视角监控健康检查失败 第 第 12 章 章 编辑应 编辑应用程序 用程序 12.1. 先决条件 12.2. 使用 DEVELOPER 视角编辑应用程序的源代码 12.3. 使用 DEVELOPER 视角编辑应用程序配置 第 第 13 章 章 修剪 修剪对 对象以重新声明 象以重新声明资 资源 源 13.1. 基本修剪操作 13.2. 修剪组 13 来添加详情，例如： git Reference，指向特定的分支、标签或提交中的代码，以用于构建应用程序。 Context Dir，指定要用来构建应用程序的应用程序源代码的子目录。 Source Secret，创建一个具有用来从私有存储库拉取源代码的凭证的 Secret Name。 4. 可选：您可以通过 Git 存储库导入 devfile、Dockerfile 或构建器镜像来进一步自定义部署。 如果您的 并重新平衡数据。最重要的是，具有适当访问权限的集群管理员或开发人员现在可轻松将该数据库用于其 应用程序。 3.3. 使用 CLI 创建应用程序 您可以使用 OpenShift Container Platform CLI，从包含源代码或二进制代码、镜像和模板的组件创建 OpenShift Container Platform 应用程序。 由 new-app 创建的对象集合取决于作为输入传递的工件，如输入源存储库、镜像或模板。

12.6. 使用 DEVELOPER 视角监控健康检查失败 第 第 13 章 章 编辑应 编辑应用程序 用程序 13.1. 先决条件 13.2. 使用 DEVELOPER 视角编辑应用程序的源代码 13.3. 使用 DEVELOPER 视角编辑应用程序配置 第 第 14 章 章 修剪 修剪对 对象以重新声明 象以重新声明资 资源 源 14.1. 基本修剪操作 14.2. 修剪组 14 来添加详情，例如： git Reference，指向特定的分支、标签或提交中的代码，以用于构建应用程序。 Context Dir，指定要用来构建应用程序的应用程序源代码的子目录。 Source Secret，创建一个具有用来从私有存储库拉取源代码的凭证的 Secret Name。 4. 可选：您可以通过 Git 存储库导入 devfile、Dockerfile 或构建器镜像来进一步自定义部署。 如果您的 并重新平衡数据。最重要的是，具有适当访问权限的集群管理员或开发人员现在可轻松将该数据库用于其 应用程序。 3.3. 使用 CLI 创建应用程序 您可以使用 OpenShift Container Platform CLI，从包含源代码或二进制代码、镜像和模板的组件创建 OpenShift Container Platform 应用程序。 由 new-app 创建的对象集合取决于作为输入传递的工件，如输入源存储库、镜像或模板。

日志记录 存活 (liveness) 和就绪 (readiness) 探针 模板 4.2. 包括镜像中的元数据 4.2.1. 定义镜像元数据 4.3. 使用 SOURCE-TO-IMAGE 从源代码创建镜像 4.3.1. 了解 source-to-image 构建过程 4.3.2. 如何编写 Source-to-image 脚本 4.4. 关于测试 SOURCE-TO-IMAGE 镜像 4 对于计划运行由第三方提供的应用程序代码的镜像，例如专为运行由开发人员提供的 Ruby 代码而设计的 Ruby 镜像，您可以让镜像与 Source-to-Image (S2I) 构建工具协同工作。S2I 是一个框架，便于编写以应 用程序源代码为输入的镜像和生成以运行汇编应用程序为输出的新镜像。 支持任意用户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 来运行容器。这对因容器引擎漏洞而 min-memory 16Gi LABEL io.openshift.min-cpu 4 4.3. 使用 SOURCE-TO-IMAGE 从源代码创建镜像 Source-to-Image (S2I) 是一种框架，它可以轻松地将应用程序源代码作为输入，生成可运行编译的应用 程序的新镜像。 使用 S2I 构建可重复生成的容器镜像的主要优点是便于开发人员使用。作为构建器镜像作者，您必须理解 两个基本概念，构建过程和

Container Platform 命令行界面(CLI)，您可以从 终端创建应用程序并管理 OpenShift Container Platform 项目。CLI 适用于以下情况： 直接使用项目源代码。 编写 OpenShift Container Platform 操作脚本。 受带宽资源限制，无法使用 Web 控制台。 CLI 使用 oc 命令可用： 有关安装和设置的信息，请参阅 CLI 4.4.5. new-app 根据当前目录中的源代码创建新应用： https://access.redhat.com/documentation/en- us/openshift_container_platform/3.11/html-single/developer_guide/#dev-guide-new-app 根据远程存储库中的源代码创建新应用： $ oc types $ oc login new-project $ oc new-app . OpenShift Container Platform 3.11 CLI 参考 参考 22 根据私有远程存储库中的源代码创建新应用： 4.4.6. status 显示当前项目的概述： 4.4.7. project 切换到另一个项目。运行 （不带选项）以显示当前项目。要查看您有权运行 oc projects 的所有项目。

对于计划运行由第三方提供的应用程序代码的镜像，例如专为运行由开发人员提供的 Ruby 代码而设计的 Ruby 镜像，您可以让镜像与 Source-to-Image (S2I) 构建工具协同工作。S2I 是一个框架，便于编写以应 用程序源代码为输入的镜像和生成以运行汇编应用程序为输出的新镜像。 第 第 4 章 章 创 创建 建镜 镜像 像 21 例如，该 Python 镜像定义了构建各个版本的 Python 应用程序的 S2I 脚本。 Go 二进制文件。 test/run 脚本会执行 S2I 构建，因此您的 $PATH 中必须有 S2I 二进制文件。必要情况下，请遵循 S2I README 中的安装说明。 S2I 结合了应用程序源代码与构建程序镜像，因此为了对其进行测试，您需要一个示例应用程序源来验证 该源是否成功转换成了可运行的容器镜像。示例应用程序应简单，但也应执行 assemble 和 run 脚本的关 键步骤。 4.3 Platform 集 群中安装了这些模板，在这种情况下，您只需从 web 控制台中选择即可。 Quickstarts 是指包含应用程序源代码的源存储库。要自定义 Quickstart，请分叉存储库，并在从模板创建 应用程序时，用分叉的存储库替换默认的源存储库名称。这将导致使用您的源代码而非所提供的示例源来 执行构建。然后，您可以更新源存储库中的代码，并启动新的构建来查看反映在所部署的应用程序中的更 改。 8

试点项目实践 03 目录 CONTENTS 持续改进 04 试点项目实践-配置管理 全流程可追溯：当出现问题，能够追溯源代码、测试报告、运行环境等数据。 针对任意需求，能够快速识别出其关联的源代码、版本、测试用例、上线记 录、缺陷信息等。 将一切纳入版本控制 ⚫ 源代码 ⚫ 配置文件 ⚫ 数据库脚本 ⚫ 部署脚本 ⚫ Dockerfile, Helm Charts ⚫ ... 问题发现得越早，修复成本就越低； ⚫ 质量是每个人的责任，而不是质量团队的责任。 试点项目实践-部署与发布管理 PRD UAT SIT playbook hosts文件 shell脚本 软件包 源代码 软件包 同一个制品，使用同样的过程和工具部署所有环境 UAT仓库 SIT仓库 DEV仓库 UAT环境 SIT环境 DEV环境 RELEASE仓库 PRD环境 构建 构建 SIT验收通过

ü 过程持续验证 !"#$%&'( !"#$)*+,- !"#$%&' 安全开发-代码扫描SAST 源代码审计针对源代码缺陷进行静态分析检测。它在对目标软件代码进行语法、语义分析的技术上，辅以数据流 分析、控制流分析和特有的缺陷分析算法等高级静态分析手段，能够高效的检测出软件源代码中的可能导致严重 缺陷漏洞和系统运行异常的安全问题和程序缺陷，并准确定位告警，从而有效的帮助开发人员消除代码中的缺陷、 测试报告输出 镜像库 性能/容量 测试 功能验收测 试 验收报告输出 镜像库 生产部署验 证 生产 发布 上线申请 提测 申请 生产 运营 单元 测试 需求安全分析 源代码审计 镜像安全扫描 服务 发布 冒烟 测试 基础镜像安全加固 代码 仓库 第三方开源 组件安全扫描 灰盒审计 手工渗透测试 镜像扫描 基线合规 实时监测 01 磐舟DevSecOps平台概况