跳到主要內容

如何在 GKE 上部署 Gitlab Runner (使用 Helm) 並整合 Workload Identity

 

如何在 GKE 上部署  Gitlab Runner (使用 Helm) 並整合 Workload Identity

Gitlab Runner + Helm + workload Identity to deploy Application on GKE


建立 Service Account 給 Gitlab Runner 使用

如果想讓 Gitlab Runner 可以在 GCP  上部署任何應用程式,  必須給他一組有特定權限的 Service Account

Gitlab Runner 要使用這個 Service Account, 比較 Hardcore 一點的做法是, 直接下載 Service Account 的 Credential,  再透過 gcloud 指令拿 Credential 去做認證


gcloud auth activate-service-account $SERVICE_ACCOUNT_EMAIL \
    --key-file=$CRED  \
    --project=$PROJECT   

這個做法的缺點是, 需要煩惱如何安全地保管 Credential 


比較安全一點的做法是

透過 GKE Workload Identity 將 GKE 裡的 Service Account 與 GCP 上的 Service Account 連結在一起



假設 Gitlab Runner 架構規劃如下:

在 GCP 上總共有三個 Project (cicd/dev/prod), cicd 的 Project 裡有一座 GKE 用來跑 Gitlab Runner, Runner 會將應用程式部署到 dev, 以及 prod 的 App Engine 上



要實現以上的架構


首先

Step 1. 建立 Google Service Account 

# Parameters
KSA_NAME="gitlab-runner-pd"
RUNNER_GSA_PROJECT="cicd"
NAMESPACE="gitlab"
RUNNER_NAME="gitlab-runner-pd"
TOKEN="eZH45H6uQAy1hRLLHksU"



gcloud iam service-accounts create ${KSA_NAME} --project=${RUNNER_GSA_PROJECT} \
    --description="" \
    --display-name=${KSA_NAME}


Step 2. 賦予 workloadIdentityUser 的角色

gcloud iam service-accounts add-iam-policy-binding ${KSA_NAME}@${RUNNER_GSA_PROJECT}.iam.gserviceaccount.com \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:${RUNNER_GSA_PROJECT}.svc.id.goog[${NAMESPACE}/${KSA_NAME}]"


Step 3. 開部署權限給 Service Account


開 dev 環境的部署權限

DEPLOY_PROJECT="dev"
gcloud projects add-iam-policy-binding ${DEPLOY_PROJECT} \
--member="serviceAccount:${KSA_NAME}@${RUNNER_GSA_PROJECT}.iam.gserviceaccount.com" \
--role="roles/editor"

開 prod 環境的部署權限

DEPLOY_PROJECT="prod"
gcloud projects add-iam-policy-binding ${DEPLOY_PROJECT} \
--member="serviceAccount:${KSA_NAME}@${RUNNER_GSA_PROJECT}.iam.gserviceaccount.com" \
--role="roles/editor"



Step 4. 建立 Kubernetes service account


kubectl create serviceaccount ${KSA_NAME} --namespace ${NAMESPACE}


Step 5. 連結 Kubernetes service account 跟 Google service account

透過 kubectl annotate 將 Service Account 連結在一起

kubectl annotate serviceaccount ${KSA_NAME} \
    --namespace ${NAMESPACE} \
    iam.gke.io/gcp-service-account=${KSA_NAME}@${RUNNER_GSA_PROJECT}.iam.gserviceaccount.com


部署 Gitlab Runner

接下來會使用 helm 來部署 Gitlab Runner


Step 6. 建立 values.yaml 


因為 Gitlab Runner 的 helm chart 上需要指定 Token, Tag, 以及 Kubernetes Service Account, ... 等等, 所以這邊先將這些參數寫到 values.yaml 


(以下使用 Python 的 jinja 套件來建立 values.yaml 檔案)

from jinja2 import Template

TAG='k8s-runner'
VALUE_FILE_NAME='values.yaml'

FILE_CONTENT="""

image: gitlab/gitlab-runner:alpine-v12.9.0
imagePullPolicy: IfNotPresent

## Default container image to use for initcontainer
init:
  image: busybox
  tag: latest
gitlabUrl: "https://gitlab.andy.co/"
runnerRegistrationToken: "{{ TOKEN }}"
unregisterRunners: true
concurrent: 100
checkInterval: 30
rbac:
  create: true
  clusterWideAccess: false
  serviceAccountName: "{{ KSA_NAME }}"
metrics:
  enabled: true

runners:
  ## Default container image to use for builds when none is specified
  ##
  image: ubuntu:16.04

  tags: "{{ TAG }}"
  privileged: true
  namespace: gitlab


  cachePath: "/opt/cache"
  cache: {}
  builds: {}
  services: {}
  helpers: {}

resources: {}

"""

import os
TemplatePath=os.path.expanduser(VALUE_FILE_NAME)

Template(FILE_CONTENT).stream(TOKEN=f"{TOKEN}",
                                 KSA_NAME=f"{KSA_NAME}",
                                 TAG=f"{TAG}"
                             ).dump(TemplatePath)
    



Step 7. 部署 Gitlab Runner 

最後使用剛剛建立的 values.yaml 來部署 Runner

helm install --namespace gitlab ${RUNNER_NAME} -f values.yaml gitlab/gitlab-runner




標籤：

留言

張貼留言

這個網誌中的熱門文章

[解決方法] docker: permission denied

前言 當我們執行docker 指令時若出現以下錯誤訊息 docker: Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Post http://%2Fvar%2Frun%2Fdocker.sock/v1.26/containers/create: dial unix /var/run/docker.sock: connect: permission denied. See 'docker run --help'. 表示目前的使用者身分沒有權限去存取docker engine, 因為docker的服務基本上都是以root的身分在執行的, 所以在指令前加sudo就能成功執行指令 但每次實行docker指令(就連docker ps)都還要加sudo實在有點麻煩, 正確的解法是 我們可以把目前使用者加到docker群組裡面, 當docker service 起來時, 會以這個群組的成員來初始化相關服務 sudo groupadd docker sudo usermod -aG docker $USER 需要退出重新登錄後才會生效 Workaround 因為問題是出在權限不足, 如果以上方法都不管用的話, 可以手動修改權限來解決這個問題 sudo chmod 777 /var/run/docker.sock https://docs.docker.com/install/linux/linux-postinstall/
張貼留言
閱讀完整內容

[C#] Visual Studio, 如何在10分鐘內快速更改命名專案名稱

前言: 由於工作需要, 而且懶得再重寫類似的專案, 所以常常將之前寫的專案複製一份加料後, 再重新命名編譯 假設今天我有一個專案HolyUWP, 我想把它重新命名成 BestUWP 時該怎麼做? 以下是幾個簡單的的步驟 使用Visual Studio 2017 備份原來專案 更改Solution名稱 更改Assembly name, Default namespce 更改每支程式碼的Namespace 更改專案資料夾名稱 備份原來專案 由於怕改壞掉, 所以在改之前先備份 更改Solution名稱 更改sln的名稱, 這邊我改成BestUWP.sln 使用Visual Studio打開你的.sln, 右鍵點擊Solution後選擇Rename, 這邊我把它重新命名成BestUWP(跟檔案名稱一致) 必要的話可以順便修改Porject名稱 更改Assembly name, Default namespce 進入 Project > OOXX Properties    修改Assembly Name, Default namesapce 更改每支程式碼的Namespace 基本上隨便挑一支有用到預設Namesapce(HolyUWP)的程式碼來改就好了 重新命名後點擊Apply,  這個動作做完後所有用到舊Namespace的程式碼都會被改成新的 更改專案資料夾名稱 以上動作做完後, 基本上就可以把專案編譯出來測看看了~
2 則留言
閱讀完整內容

[解決方法] mac 作業系統上無法使用 docker

  錯誤訊息 Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running? 原因 因為 docker 的設計是走 client-server 的架構,  如果少裝了 server 的部分就會出現以上的錯誤訊息 解決方法 因為 docker daemon 需要使用 linux kernel 上的某些功能, 所以若想要在 mac 的 OS X 上使用 docker 必須額外起一台 linux VM 給 docker daemon 用  Step 1. 安裝 virtual box $ brew install virtualbox --cask   Step 2. 安裝 docker machine $ brew install docker-machine --cask   Step 3. 設定 使用 docker-machine 建立 VM 跑容器 $docker-machine create --driver virtualbox default $docker-machine restart   輸出環境變數 $docker-machine env default 如果執行以上的指令出現錯誤訊息 Error checking TLS connection: ...  可以執行以下指令重新產生憑證 $docker-machine regenerate-certs 最後套用環境變數, 讓 docker 知道要怎麼去跟這台 VM 溝通  $eval $(docker-machine env default)   測試 若做完以上的步驟沒噴錯誤訊息的話, 可以跑個 hello-world 看看 docker daemon 有沒有起來 $docker run hello-world Unable to find image 'hello-world:latest' locally latest: Pulling from library/hello-world 0e03bdcc26d7: Pull complete Digest: sha256:95ddb6c31407e84e91a986b004aee40975cb0
張貼留言
閱讀完整內容