Expand architecture documentation: enhance preview.html with an application layer component registry, update tooltips, refine SVG rendering, and adjust Archimate model structure.
This commit is contained in:
emelinda
parent
5ae853bbf2
commit
8fe6445be8
33
.gitlab-ci.yml
Normal file
33
.gitlab-ci.yml
Normal file
@ -0,0 +1,33 @@
|
||||
include:
|
||||
- project: 'generic/common-ci'
|
||||
file: '/common-build.yaml'
|
||||
|
||||
stages:
|
||||
- build
|
||||
|
||||
variables:
|
||||
RELEASE_NAME: iac-offline
|
||||
DOCKERFILE_PATH: Dockerfile
|
||||
IMAGE_NAME: ${CR}/${RELEASE_NAME}:${CI_COMMIT_TAG}
|
||||
GIT_DEPTH: "1"
|
||||
|
||||
build_offline_mirror:
|
||||
extends: .base_docker_prod
|
||||
rules:
|
||||
- if: $CI_COMMIT_TAG =~ /^v?(?:\d+\.){2}\d+$/
|
||||
allow_failure: false
|
||||
script:
|
||||
- printf '%s' "$CI_JOB_TOKEN" > /tmp/gl_token
|
||||
- mkdir -p /tmp/emptyctx
|
||||
- docker build -f ${DOCKERFILE_PATH} /tmp/emptyctx
|
||||
--secret id=gl_token,src=/tmp/gl_token
|
||||
--build-arg PUSHER_IMAGE="${PUSHER_IMAGE}"
|
||||
--build-arg GIT_TAG="${CI_COMMIT_TAG}"
|
||||
--build-arg EXPECT_COMMIT="${CI_COMMIT_SHA}"
|
||||
--build-arg BUILT_AT="$(date -u +%Y-%m-%dT%H:%M:%SZ)"
|
||||
${BUILD_ARGS}
|
||||
-t ${IMAGE_NAME}
|
||||
|
||||
- docker run --rm -e DRY_RUN=true ${IMAGE_NAME}
|
||||
- docker push ${IMAGE_NAME}
|
||||
timeout: 30m
|
||||
261
Dockerfile
Normal file
261
Dockerfile
Normal file
@ -0,0 +1,261 @@
|
||||
# syntax=docker/dockerfile:1
|
||||
#
|
||||
# Самодостаточный образ переноса infra/iac в закрытый контур: несёт в себе
|
||||
# и состояние репозитория на заданном теге, и логику push-а. Внешней базы
|
||||
# нет — собирается от alpine, зависимостей от других репозиториев у сборки
|
||||
# нет тоже.
|
||||
#
|
||||
# В образ попадают ровно два ref-а:
|
||||
# refs/tags/<GIT_TAG> — сам тег
|
||||
# refs/heads/<TARGET_BRANCH> — ветка на коммите тега; её читает Flux
|
||||
# Остальных веток и их истории нет — только объекты, достижимые от тега.
|
||||
#
|
||||
# Куда пушить, образ узнаёт при запуске (см. `docker run ... info`):
|
||||
# GIT_URL обязательно, полный git-URL цели
|
||||
# GIT_USERNAME логин
|
||||
# GIT_PASSWORD_FILE файл с токеном (предпочтительно) …
|
||||
# GIT_PASSWORD … либо значение
|
||||
# PUSH_TAGS true пушить теги
|
||||
# PUSH_PRUNE true снимать на сервере лишние ветки и теги
|
||||
# PUSH_FORCE true форсированный push
|
||||
# VERIFY_AFTER_PUSH true сверить refs после push-а и упасть при расхождении
|
||||
# GIT_SSL_NO_VERIFY false самоподписанный сертификат цели
|
||||
#
|
||||
# Образ умеет ровно одно — push, в двух режимах:
|
||||
#
|
||||
# DRY_RUN=true показать подпись образа, refs и рефспеки; ничего
|
||||
# не менять. GIT_URL при этом необязателен, так что этим
|
||||
# же режимом проверяют образ сразу после сборки.
|
||||
# DRY_RUN=false (по умолчанию) запушить и сверить результат: если на
|
||||
# сервере оказалось не то, контейнер падает.
|
||||
#
|
||||
# Требует BuildKit. Локально:
|
||||
#
|
||||
# export GITLAB_TOKEN=... # read_repository на infra/iac
|
||||
# printf '%s' "$GITLAB_TOKEN" > /tmp/gl_token
|
||||
# DOCKER_BUILDKIT=1 docker build -f Dockerfile \
|
||||
# --secret id=gl_token,src=/tmp/gl_token \
|
||||
# --build-arg GIT_TAG=3.9.0 \
|
||||
# --build-arg BUILT_AT="$(date -u +%Y-%m-%dT%H:%M:%SZ)" \
|
||||
# -t cr.yandex/crp3ccidau046kdj8g9q/iac-offline:3.9.0 .
|
||||
#
|
||||
# В CI это делает job build_offline_mirror, см. .gitlab-ci.yml.
|
||||
|
||||
# ── этап 1: выкачать состояние тега ─────────────────────────────────────
|
||||
FROM alpine/git:latest AS fetch
|
||||
|
||||
ARG GIT_HOST=gitlab.sarex.io
|
||||
ARG GIT_PATH=infra/iac
|
||||
ARG GIT_USERNAME=gitlab-ci-token
|
||||
|
||||
# Обязателен. Он же — ключ кэша: docker кэширует RUN ниже, и без
|
||||
# меняющегося аргумента пересборка молча отдала бы старое состояние.
|
||||
# Теги неизменяемы, поэтому пересборка того же тега берёт кэш намеренно.
|
||||
# Если тег в GitLab передвинули — см. EXPECT_COMMIT.
|
||||
ARG GIT_TAG
|
||||
|
||||
# Ветка, которую увидит Flux в закрытом контуре. Создаётся на коммите тега.
|
||||
ARG TARGET_BRANCH=master
|
||||
|
||||
# Необязательно: ожидаемый SHA коммита тега. Не совпал — сборка падает.
|
||||
# Страховка от передвинутого тега и от устаревшего кэша.
|
||||
ARG EXPECT_COMMIT
|
||||
|
||||
RUN --mount=type=secret,id=gl_token \
|
||||
set -eu; \
|
||||
: "${GIT_TAG:?не задан --build-arg GIT_TAG}"; \
|
||||
token="$(cat /run/secrets/gl_token)"; \
|
||||
\
|
||||
# Не clone --mirror: тот выкачивает все ветки и служебные
|
||||
# refs/merge-requests/*, чтобы потом их выбросить. fetch одного тега
|
||||
# тянет только объекты, достижимые от него.
|
||||
git init --bare --quiet /repo; \
|
||||
git -C /repo fetch --quiet --no-tags \
|
||||
"https://${GIT_USERNAME}:${token}@${GIT_HOST}/${GIT_PATH}.git" \
|
||||
"refs/tags/${GIT_TAG}:refs/tags/${GIT_TAG}" \
|
||||
|| { echo "не удалось выкачать тег ${GIT_TAG} из ${GIT_PATH}" >&2; exit 1; }; \
|
||||
\
|
||||
# URL с токеном нигде не сохраняется: remote не заводится, fetch
|
||||
# получил его аргументом. В образ уезжают только объекты.
|
||||
\
|
||||
commit="$(git -C /repo rev-parse "refs/tags/${GIT_TAG}^{commit}")"; \
|
||||
if [ -n "${EXPECT_COMMIT:-}" ] && [ "${commit}" != "${EXPECT_COMMIT}" ]; then \
|
||||
echo "тег ${GIT_TAG} указывает на ${commit}, ожидался ${EXPECT_COMMIT}" >&2; \
|
||||
exit 1; \
|
||||
fi; \
|
||||
\
|
||||
# Ветка на коммите тега. Без неё в образе нет ни одного refs/heads/*,
|
||||
# а push с --prune снёс бы на сервере все ветки разом.
|
||||
git -C /repo update-ref "refs/heads/${TARGET_BRANCH}" "${commit}"; \
|
||||
git -C /repo symbolic-ref HEAD "refs/heads/${TARGET_BRANCH}"; \
|
||||
git -C /repo gc --prune=now --quiet; \
|
||||
\
|
||||
# Коммит нужен следующему этапу как ENV, а ARG туда не пролезает.
|
||||
echo "${commit}" > /repo-commit
|
||||
|
||||
# ── этап 2: собственно образ ────────────────────────────────────────────
|
||||
FROM alpine:3.22
|
||||
|
||||
# Только то, что нужно для push по HTTP(S). Ни curl, ни jq: образ не ходит
|
||||
# ни в какие API, он умеет ровно одно — git push.
|
||||
RUN apk add --no-cache ca-certificates git tini \
|
||||
&& addgroup -g 1000 mirror \
|
||||
&& adduser -D -u 1000 -G mirror -h /home/mirror mirror \
|
||||
&& mkdir -p /repo \
|
||||
&& chown -R mirror:mirror /repo
|
||||
|
||||
# Логика push-а. Специализирована под этот образ: внутри заведомо bare-репо
|
||||
# с одной веткой и одним тегом, поэтому ни определения bare-vs-worktree, ни
|
||||
# выбора ветки здесь нет.
|
||||
COPY <<'PUSH_SH' /app/push.sh
|
||||
#!/bin/sh
|
||||
set -eu
|
||||
|
||||
REPO_DIR=/repo
|
||||
TMP_DIR="$(mktemp -d)"
|
||||
trap 'rm -rf "${TMP_DIR}"' EXIT
|
||||
|
||||
# Подпись образа: SOURCE_PATH, SOURCE_URL, GIT_TAG, COMMIT, BUILT_AT.
|
||||
# Пишется при сборке; COMMIT вычисляется там же, через ARG в ENV он бы
|
||||
# не пролез.
|
||||
. /etc/mirror-meta
|
||||
|
||||
PUSH_TAGS="${PUSH_TAGS:-true}"
|
||||
PUSH_PRUNE="${PUSH_PRUNE:-true}"
|
||||
PUSH_FORCE="${PUSH_FORCE:-true}"
|
||||
VERIFY_AFTER_PUSH="${VERIFY_AFTER_PUSH:-true}"
|
||||
DRY_RUN="${DRY_RUN:-false}"
|
||||
|
||||
stamp() { date -u +%Y-%m-%dT%H:%M:%SZ; }
|
||||
log() { printf '%s [mirror] %s\n' "$(stamp)" "$*"; }
|
||||
die() { printf '%s [mirror] ERROR %s\n' "$(stamp)" "$*" >&2; exit 1; }
|
||||
|
||||
init_git() {
|
||||
# Репозиторий в образе принадлежит сборщику, а не текущему uid.
|
||||
# Конфиг — во временный каталог: корень образа read-only.
|
||||
GIT_CONFIG_GLOBAL="${TMP_DIR}/gitconfig"
|
||||
export GIT_CONFIG_GLOBAL
|
||||
: > "${GIT_CONFIG_GLOBAL}"
|
||||
git config --global --add safe.directory '*'
|
||||
git config --global advice.detachedHead false
|
||||
}
|
||||
|
||||
# Пароль нигде не материализуется: ни в URL ремоута, ни в argv (виден
|
||||
# в `ps`), ни в git-конфиге на диске — только в окружении процесса.
|
||||
# Credential-хелпер, а не GIT_ASKPASS: askpass требует исполняемый файл во
|
||||
# временном каталоге, а под Kubernetes тот может быть примонтирован noexec.
|
||||
setup_auth() {
|
||||
pass="${GIT_PASSWORD:-}"
|
||||
if [ -z "${pass}" ] && [ -n "${GIT_PASSWORD_FILE:-}" ]; then
|
||||
[ -r "${GIT_PASSWORD_FILE}" ] \
|
||||
|| die "не читается GIT_PASSWORD_FILE=${GIT_PASSWORD_FILE}"
|
||||
pass="$(tr -d '\r\n' < "${GIT_PASSWORD_FILE}")"
|
||||
fi
|
||||
|
||||
if [ -n "${pass}" ] || [ -n "${GIT_USERNAME:-}" ]; then
|
||||
GIT_AUTH_USER="${GIT_USERNAME:-}"
|
||||
GIT_AUTH_PASS="${pass}"
|
||||
export GIT_AUTH_USER GIT_AUTH_PASS
|
||||
git config --global credential.helper \
|
||||
'!f() { printf "username=%s\npassword=%s\n" "${GIT_AUTH_USER}" "${GIT_AUTH_PASS}"; }; f'
|
||||
fi
|
||||
|
||||
if [ "${GIT_SSL_NO_VERIFY:-false}" = "true" ]; then
|
||||
export GIT_SSL_NO_VERIFY=true
|
||||
fi
|
||||
}
|
||||
|
||||
local_refs() {
|
||||
git -C "${REPO_DIR}" for-each-ref --format='%(objectname) %(refname)' \
|
||||
refs/heads refs/tags | sort
|
||||
}
|
||||
|
||||
remote_refs() {
|
||||
git ls-remote "${GIT_URL}" 'refs/heads/*' 'refs/tags/*' \
|
||||
| grep -v '\^{}$' | awk '{print $1 " " $2}' | sort
|
||||
}
|
||||
|
||||
# Сверка делает Job самопроверяющимся: если что-то не доехало, контейнер
|
||||
# падает, а не рапортует об успехе.
|
||||
compare_refs() {
|
||||
local_refs > "${TMP_DIR}/expected"
|
||||
remote_refs > "${TMP_DIR}/actual"
|
||||
if cmp -s "${TMP_DIR}/expected" "${TMP_DIR}/actual"; then
|
||||
log "сверка: ok, refs $(wc -l < "${TMP_DIR}/expected" | tr -d ' ')"
|
||||
return 0
|
||||
fi
|
||||
log "сверка: РАСХОЖДЕНИЕ (< образ, > сервер)"
|
||||
diff "${TMP_DIR}/expected" "${TMP_DIR}/actual" >&2 || true
|
||||
die "состояние цели не совпало с образом"
|
||||
}
|
||||
|
||||
do_push() {
|
||||
init_git
|
||||
|
||||
prefix=""
|
||||
if [ "${PUSH_FORCE}" = "true" ]; then prefix="+"; fi
|
||||
|
||||
set -- "${prefix}refs/heads/*:refs/heads/*"
|
||||
if [ "${PUSH_TAGS}" = "true" ]; then
|
||||
set -- "$@" "${prefix}refs/tags/*:refs/tags/*"
|
||||
fi
|
||||
|
||||
log "${SOURCE_PATH} ${GIT_TAG} (${COMMIT}), собрано ${BUILT_AT}"
|
||||
|
||||
# Режим сухого прогона: показать всё, что образ собирается сделать, и
|
||||
# ничего не менять. Цель необязательна — так этим режимом проверяют
|
||||
# сам образ сразу после сборки, ещё не зная, в какой контур он поедет.
|
||||
if [ "${DRY_RUN}" = "true" ]; then
|
||||
log "dry-run: цель ${GIT_URL:-<не задана>}, рефспеки: $*"
|
||||
git -C "${REPO_DIR}" for-each-ref \
|
||||
--format=' %(objectname:short) %(refname)' refs/heads refs/tags
|
||||
return 0
|
||||
fi
|
||||
|
||||
[ -n "${GIT_URL:-}" ] || die "не задан GIT_URL"
|
||||
setup_auth
|
||||
|
||||
# --prune снимает на сервере ветки и теги, которых нет в образе.
|
||||
# Без него удаления из источника в закрытый контур не доезжают.
|
||||
if [ "${PUSH_PRUNE}" = "true" ]; then
|
||||
git -C "${REPO_DIR}" push --quiet --prune "${GIT_URL}" "$@"
|
||||
else
|
||||
git -C "${REPO_DIR}" push --quiet "${GIT_URL}" "$@"
|
||||
fi
|
||||
log "запушено в ${GIT_URL}"
|
||||
|
||||
if [ "${VERIFY_AFTER_PUSH}" = "true" ]; then compare_refs; fi
|
||||
}
|
||||
|
||||
do_push
|
||||
PUSH_SH
|
||||
RUN chmod 0755 /app/push.sh
|
||||
|
||||
COPY --from=fetch --chown=1000:1000 /repo /repo
|
||||
|
||||
# Подпись образа: видна в `docker run ... info` и в логе Job-а, так что по
|
||||
# логу понятно, что именно уехало в контур.
|
||||
ARG GIT_PATH=infra/iac
|
||||
ARG GIT_TAG
|
||||
ARG SOURCE_URL=https://gitlab.sarex.io/infra/iac
|
||||
ARG BUILT_AT
|
||||
COPY --from=fetch /repo-commit /tmp/repo-commit
|
||||
RUN COMMIT="$(cat /tmp/repo-commit)" \
|
||||
&& rm -f /tmp/repo-commit \
|
||||
&& printf 'SOURCE_PATH=%s\nSOURCE_URL=%s\nGIT_TAG=%s\nCOMMIT=%s\nBUILT_AT=%s\n' \
|
||||
"${GIT_PATH}" "${SOURCE_URL}" "${GIT_TAG}" "${COMMIT}" "${BUILT_AT}" \
|
||||
> /etc/mirror-meta \
|
||||
&& chmod 0444 /etc/mirror-meta
|
||||
|
||||
ENV HOME=/home/mirror \
|
||||
GIT_TERMINAL_PROMPT=0 \
|
||||
TZ=UTC
|
||||
|
||||
LABEL org.opencontainers.image.source="https://gitlab.sarex.io/infra/iac" \
|
||||
org.opencontainers.image.version="${GIT_TAG}" \
|
||||
org.opencontainers.image.created="${BUILT_AT}"
|
||||
|
||||
USER mirror
|
||||
WORKDIR /
|
||||
|
||||
ENTRYPOINT ["/sbin/tini", "--", "/app/push.sh"]
|
||||
Loading…
Reference in New Issue
Block a user