תזמור CI/CD עם Argo Workflows ב-Kubernetes

תזמור CI/CD עם Argo Workflows ב-Kubernetes

חשוב על זה: כאשר אשכול ה-Kubernetes שלך מריץ עשרות מיקרוסרוויסים, וצינור ה-CI/CD מורכב משלבים מקבילים מרובים — בנייה, לינט, בדיקות יחידה, בדיקות אינטגרציה, סריקת אבטחה — מערכות CI מסורתיות כמו GitLab CI או Jenkins מתחילות ליצור צוואר בקבוק. כל שלב ממתין ל-runner שיתפנה, ומשימות מקבילות דורשות קונפיגורציות מורכבות. Argo Workflows פותר זאת באופן קיצוני: כל שלב בצינור מבוצע ב-Pod משלו, וגרף המשימות (DAG) מוגדר הצהרתית. התוצאה — ראינו האצת בנייה של עד 40% ושקיפות ביצוע מלאה. כפי שמצוין בתיעוד הפרויקט: "Argo Workflows הוא התקן דה-פקטו לתזמור צינורות ב-Kubernetes."

אנו מיישמים כלי זה באופן מקצועי כבר למעלה מ-5 שנים: תכנון WorkflowTemplates, הגדרת ביצוע מונחה אירועים באמצעות Argo Events, אינטגרציה עם ArgoCD. במהלך תקופה זו, סיפקנו למעלה מ-50 פרויקטים, תוך עיבוד של יותר מ-1,000 צינורות בחודש. אנו מבטיחים ביצועי צינור יציבים תחת עומס.

היתרונות המרכזיים של Argo Workflows עבור CI/CD

ההבדל המרכזי מ-Tekton: Argo Workflows הוא פרויקט בוגר עם סט עשיר של תבניות (DAG, Steps, Suspend, Retry, Exit handlers), ממשק משתמש מפותח וקהילה פעילה. Tekton קשה יותר להגדרה ראשונית אך מתאים יותר לצוותי פלטפורמה הזקוקים לעמידה ב-SLSA. Argo Workflows מספק תוצאות מהר יותר.

הודות למודל ה-DAG, אנו חוסכים עד 40% מזמן הבנייה באמצעות משימות מקבילות. לדוגמה, לינט, בדיקות יחידה וסריקות אבטחה יכולות לרוץ במקביל לאחר הקלון — כל משימה ב-Pod משלה. בפרויקט אחד, זמן הבנייה ירד מ-15 ל-9 דקות, וחוסך $25,000 בשנה במשאבי מחשוב. בהשוואה ל-Jenkins, Argo Workflows יעיל פי 2 עבור צינורות DAG מורכבים הודות לאינטגרציה טבעית עם Kubernetes. במדדים שלנו, Argo Workflows מהיר פי 1.5 מ-Tekton בביצוע משימות מקבילות.

כיצד לתכנן WorkflowTemplates?

היחידה הבסיסית היא Workflow. לשימוש חוזר, אנו משתמשים ב-WorkflowTemplate וב-ClusterWorkflowTemplate. להלן דוגמה לתבנית CI/CD עם שלבים מקבילים ובנייה סופית:

---
apiVersion: argoproj.io/v1alpha1
kind: WorkflowTemplate
metadata:
  name: ci-cd-pipeline
  namespace: argo-workflows
spec:
  entrypoint: main
  arguments:
    parameters:
      - name: repo-url
      - name: git-revision
      - name: image-name
  volumeClaimTemplates:
    - metadata:
        name: workspace
      spec:
        accessModes: [ReadWriteOnce]
        resources:
          requests:
            storage: 2Gi
  templates:
    - name: main
      dag:
        tasks:
          - name: clone
            template: git-clone
            arguments:
              parameters:
                - name: repo-url
                  value: "{{workflow.parameters.repo-url}}"
                - name: revision
                  value: "{{workflow.parameters.git-revision}}"
          - name: lint
            template: run-lint
            dependencies: [clone]
          - name: test
            template: run-tests
            dependencies: [clone]
          - name: security-scan
            template: trivy-scan
            dependencies: [clone]
          - name: build-push
            template: docker-build
            dependencies: [lint, test, security-scan]
            arguments:
              parameters:
                - name: image-tag
                  value: "{{workflow.parameters.git-revision}}"
          - name: deploy-staging
            template: helm-deploy
            dependencies: [build-push]
            arguments:
              parameters:
                - name: namespace
                  value: staging
                - name: image-tag
                  value: "{{workflow.parameters.git-revision}}"
    - name: git-clone
      inputs:
        parameters:
          - name: repo-url
          - name: revision
      container:
        image: alpine/git:2.40.1
        command: [sh, -c]
        args:
          - |
            git clone {{inputs.parameters.repo-url}} /workspace
            cd /workspace
            git checkout {{inputs.parameters.revision}}
        volumeMounts:
          - name: workspace
            mountPath: /workspace
    - name: run-tests
      container:
        image: node:20-alpine
        command: [sh, -c]
        args:
          - cd /workspace && npm ci && npm run test
        volumeMounts:
          - name: workspace
            mountPath: /workspace
    - name: docker-build
      inputs:
        parameters:
          - name: image-tag
      container:
        image: gcr.io/kaniko-project/executor:v1.21.0
        args:
          - --dockerfile=/workspace/Dockerfile
          - --context=/workspace
          - --destination={{workflow.parameters.image-name}}:{{inputs.parameters.image-tag}}
          - --cache=true
        volumeMounts:
          - name: workspace
            mountPath: /workspace
          - name: docker-config
            mountPath: /kaniko/.docker
      volumes:
        - name: docker-config
          secret:
            secretName: registry-credentials
            items:
              - key: .dockerconfigjson
                path: config.json
---

מודל ה-DAG הוא המפתח כאן: לינט, בדיקות וסריקת אבטחה רצים במקביל לאחר הקלון. build-push מתחיל רק לאחר שכל השלושה מצליחים. ויזואליזציה של גרף זה זמינה בממשק המשתמש של Argo Workflows בזמן אמת.

כיצד לטפל בשגיאות ובניסיונות חוזרים ב-Argo Workflows?

Argo Workflows מספק שליטה גרעינית במדיניות ניסיונות חוזרים:

---
- name: wait-for-approval
  suspend:
    duration: "0" # ждёт бесконечно до ручного resume
- name: deploy-production
  dag:
    tasks:
      - name: approval
        template: wait-for-approval
      - name: deploy
        template: helm-deploy-prod
        dependencies: [approval]
        arguments:
          parameters:
            - name: namespace
              value: production

Exit handlers מאפשרים להריץ לוגיקת ניקוי על כל תוצאת workflow (הצלחה, כישלון, שגיאה): apiVersion: argoproj.io/v1alpha1 kind: WorkflowTemplate metadata: name: ci-cd-pipeline namespace: argo-workflows spec: entrypoint: main arguments: parameters: - name: repo-url - name: git-revision - name: image-name volumeClaimTemplates: - metadata: name: workspace spec: accessModes: [ReadWriteOnce] resources: requests: storage: 2Gi templates: - name: main dag: tasks: - name: clone template: git-clone arguments: parameters: - name: repo-url value: "{{workflow.parameters.repo-url}}" - name: revision value: "{{workflow.parameters.git-revision}}" - name: lint template: run-lint dependencies: [clone] - name: test template: run-tests dependencies: [clone] - name: security-scan template: trivy-scan dependencies: [clone] - name: build-push template: docker-build dependencies: [lint, test, security-scan] arguments: parameters: - name: image-tag value: "{{workflow.parameters.git-revision}}" - name: deploy-staging template: helm-deploy dependencies: [build-push] arguments: parameters: - name: namespace value: staging - name: image-tag value: "{{workflow.parameters.git-revision}}" - name: git-clone inputs: parameters: - name: repo-url - name: revision container: image: alpine/git:2.40.1 command: [sh, -c] args: - | git clone {{inputs.parameters.repo-url}} /workspace cd /workspace git checkout {{inputs.parameters.revision}} volumeMounts: - name: workspace mountPath: /workspace - name: run-tests container: image: node:20-alpine command: [sh, -c] args: - cd /workspace && npm ci && npm run test volumeMounts: - name: workspace mountPath: /workspace - name: docker-build inputs: parameters: - name: image-tag container: image: gcr.io/kaniko-project/executor:v1.21.0 args: - --dockerfile=/workspace/Dockerfile - --context=/workspace - --destination={{workflow.parameters.image-name}}:{{inputs.parameters.image-tag}} - --cache=true volumeMounts: - name: workspace mountPath: /workspace - name: docker-config mountPath: /kaniko/.docker volumes: - name: docker-config secret: secretName: registry-credentials items: - key: .dockerconfigjson path: config.json .

Suspend Templates לאישור ידני

---
apiVersion: argoproj.io/v1alpha1
kind: Sensor
metadata:
  name: github-push-sensor
  namespace: argo-events
spec:
  dependencies:
    - name: github-dep
      eventSourceName: github
      eventName: push
  triggers:
    - template:
        name: ci-trigger
        argoWorkflow:
          source:
            resource:
              apiVersion: argoproj.io/v1alpha1
              kind: Workflow
              metadata:
                generateName: ci-run-
                namespace: argo-workflows
              spec:
                workflowTemplateRef:
                  name: ci-cd-pipeline
                arguments:
                  parameters:
                    - name: repo-url
                      value: "{{inputs.parameters.repo-url}}"
                    - name: git-revision
                      value: "{{inputs.parameters.git-revision}}"
---

בהגעה לתבנית suspend, ה-workflow מושהה. מפעיל רואה זאת בממשק המשתמש, בודק את ה-staging, ולוחץ על Resume. ה-workflow ממשיך לשלב הפריסה לייצור. זהו אישור בסגנון GitOps ללא מערכות חיצוניות. המשך ידני דרך CLI: - name: wait-for-approval suspend: duration: "0" # ждёт бесконечно до ручного resume - name: deploy-production dag: tasks: - name: approval template: wait-for-approval - name: deploy template: helm-deploy-prod dependencies: [approval] arguments: parameters: - name: namespace value: production .

אוטומציה של ביצוע באמצעות אירועי Git

Argo Events הוא פרויקט נלווה ל-Argo Workflows. הוא מעבד אירועים נכנסים (GitHub webhook, SNS, Kafka, NATS) ומפעיל Workflows באמצעות Triggers:

---
- name: flaky-integration-test
  retryStrategy:
    limit: "3"
    retryPolicy: OnError
    backoff:
      duration: 30s
      factor: "2"
      maxDuration: 5m
  container:
    image: pytest:latest
    command: [pytest, tests/integration/]

היקף העבודה

• ביקורת תשתית CI/CD קיימת וזיהוי צווארי בקבוק
• התקנה וקונפיגורציה של Argo Workflows, Argo Events, ArgoCD באשכול
• פיתוח WorkflowTemplates לשימוש חוזר לבנייה, בדיקות ופריסה
• הגדרת ביצוע מונחה אירועים באמצעות GitHub/GitLab webhooks או מקורות אחרים
• אינטגרציה עם מערכות קיימות (Helm, Kaniko, Trivy, ניטור)
• תיעוד והדרכת צוות על יסודות Argo Workflows
• תמיכה מובטחת לחודש הראשון של הפעילות

יישום ב-4 שלבים

1. ביקורת ותכנון: ניתוח צינורות קיימים, זיהוי שלבים שניתן להקביל, תכנון גרף ה-DAG.
2. הקמת תשתית: פריסת Argo Workflows, Argo Events, הגדרת RBAC ובידוד namespaces לריבוי צוותים.
3. פיתוח תבניות: יצירת WorkflowTemplates לכל שלב, הגדרת volumeClaimTemplates ו-caching להאצת בניות.
4. אינטגרציה ופריסה: חיבור ביצוע מונחה אירועים, הגדרת אישורים ידניים, אינטגרציה עם ArgoCD לפריסת GitOps. ביצוע בדיקות עומס.

שלבי עבודה ולוחות זמנים

בפרויקט אחד, צמצמנו את זמן הבנייה מ-15 ל-9 דקות הודות למשימות מקבילות — חיסכון של 40%. תקופת ההחזר ליישום Argo Workflows עומדת בממוצע על 3–4 חודשים הודות לשחרורים מואצים והפחתת שגיאות, המאפשרים חיסכון של עד $40,000 בשנה על פעולות. החיסכון השנתי האופייני נע בין $20,000 ל-$50,000 בהתאם למורכבות הצינור. הפתרונות שלנו משיגים זמינות של 99.9%, וזמן התגובה הממוצע לבעיות צינור הוא מתחת ל-5 דקות.

העלות מחושבת באופן אישי לאחר ביקורת תשתית. קבלו ייעוץ — נעריך את הפרויקט שלכם ללא עלות. צרו קשר כדי לדון בפרטים.

פנו אלינו לביקורת צינור CI/CD — נזהה צווארי בקבוק ונציע את הפתרון האופטימלי.