前言

在運維環境一波三折的同時，DevOps的征程也是亦步亦趨，步步驚心。幸運的是，我們知道自己缺乏什麽，想要什麽，所以能比較容易的做到“哪裏不會點哪裏”。如同上一章節所述，合適的才是最好的。持續集成（CI）與持續交付（CD）的叠代過程，從最初的代碼拷貝，到結合docker-compose與rsync命令，到使用CI/CD工具，做到相對意義上的自動化……迄今為止，我們摸索出一套相對好用並且好玩的流程：

Drone CI

Drone這個單詞在翻譯中譯作雄蜂、無人機。我特意咨詢了一位精通一千零二十四國語言的英國朋友，說這個詞的意思是autonomous，works by itself。白話就是有活它自己幹，而且是自主的。不過這個解釋對於Drone來說名副其實。這個在Github上擁有13,000+ Stars的開源項目，使用Golang編寫，相比Jenkins的大而全，Drone是為Docker而生的CI軟件。如果有使用過Gitlab CI的小夥伴，相信對Drone的使用方式不會感到陌生，他們都是使用Yaml風格文件來定義pipeline：

pipeline:
  build:
    image: node:latest
    commands:
      - npm install
      - npm run lint
      - npm run test
  publish:
    image: plugins/npm
    when:
      branch: master

Drone的安裝方式如同Rancher一樣簡單，一行docker命令即可。當然，大家也可以看Drone的官方文檔，在這裏，只講一下使用Rancher catalog安裝Drone的方式：

查看大圖大家可以看到Drone使用Rancher catalog安裝的方法（with github），在Github 的Settings中創建Drone的OAuth App時，Home Page Url務必要寫你能訪問Drone的IP地址或域名，例如：

http://drone.company.com

而OAuth App的Authorization callback URL應該對應上面的寫法：http://drone.company.com/authorize

小功告成：

登錄進Drone之後，在Repositories中找到你想要開啟CI的Git Repo，用switch按鈕打開它：

這表示已經打開了Drone對於這個Repo的webhook，當有代碼提交時，Drone會檢測這個Repo的根目錄中是否包含.drone.yml文件，如存在，則根據yaml文件定義的pipeline執行CI流程。

在決定使用Drone之前，需要知道的是，Drone是一個高度依賴社區的項目。其文檔諸多不完善（完善過，版本叠代，文檔跟不上了），plugins質量良莠。但對於擅長Github issue、Google、Stackoverflow的朋友來說，這並不是特別困難的事情。Drone也有付費版本，無需自己提供服務器，而是像Github那樣作為服務使用。

如果你決定開始使用Drone，截止到上面的步驟，我們打開了Drone對於Github Repo的監聽，再次提醒，需要在代碼repo的根目錄包含.drone.yml文件，才會真正觸發Drone的pipeline。

那麽，如果想重現上面故事中的場景，應該如何進行集成呢？

我司在構建CI/CD的過程中，現使用Harbor作為私有鏡像倉庫，從提交代碼到自動部署到Rancher，其實應當經歷如下步驟：

• 提交代碼，觸發Github Webhook

• Drone使用docker插件，根據Dockerfile構建鏡像，並推送到Harbor中

• Drone使用rancher插件，根據stack/service，部署上面構建好的image

• Drone使用企業微信插件，報告部署結果

在這裏節選公司項目中的一段yaml代碼，描述了上述步驟：

# .drone.yaml
pipeline:
  # 使用plugins/docker插件，構建鏡像，推送到harbor
  build_step:
    image: plugins/docker
    username: harbor_username
    password: harbor_password
    registry: harbor.company.com
    repo: harbor.company.com/registry/test
    mirror: 'https://registry.docker-cn.com'
    tag:
      - dev
    dockerfile: Dockerfile
    when:
      branch: develop
      event: push

# 使用rancher插件，自動更新實例
  rancher:
    image: peloton/drone-rancher
    url: 'http://rancher.company.com/v2-beta/projects/1a870'
    access_key: rancher access key
    secret_key: rancher secret key
    service: rancher_stack/rancher_service
    docker_image:'harbor.company.com/registry/test:dev'
    batch_size: 1
    timeout: 600
    confirm: true
    when:
      branch: develop
      event: push

# 使用clem109/drone-wechat插件，報告到企業微信
  report-deploy:
    image: clem109/drone-wechat
    secrets:
      - plugin_corp_secret
      - plugin_corpid
      - plugin_agent_id
    title: '${DRONE_REPO_NAME}'
    description: |    
       構建序列: ${DRONE_BUILD_NUMBER}  部署成功，幹得好${DRONE_COMMIT_AUTHOR} ！     
       更新內容: ${DRONE_COMMIT_MESSAGE}  
  msg_url: 'http://project.company.com'
    btn_txt: 點擊前往
    when:
      branch: develop
      status:
        - success

對接企業微信之前，需要在企業微信中新建自定義應用，比如我們的應用名字叫Drone CI/CD。當然，您也可以給每一個項目創建一個企業微信App，這樣雖然麻煩，但是可以讓需要關註該項目的人關註到構建信息。

下面是企業微信測試的截圖：

企業微信與微信客戶端是連通的，可玩性還不錯：

在這裏我認為有必要提醒一下，使用Drone的企業微信插件時，不要使用Drone Plugins列表裏的企業微信。翻閱其源碼可以發現，其中一個函數會將企業的敏感信息發送至私人服務器。不管作者本身是出於BaaS的好意，還是其它想法，我認為都是不妥的：

ELK與Rancher的集成

在這裏要做的事情，就是把rancher中的日誌歸集到已有的ELK中。

在Rancher的catalog中找到logspout，這是一個logstash的adapter，為docker而生：

在配置中設置LOGSPOUT=ignore，然後把ROUTE_URIS設置為已經搭建好的logstash地址，就可以將當前環境的日誌集成到ELK中：

Traefik與Rancher的集成

Traefik內部架構圖（Image from traefik.io）：

如何安裝Traefik呢？我們以Rancher catalog中的Traefik為例（不使用ACME）：

最後需要在域名服務商那裏做A記錄解析，解析的IP地址應為Traefik的公網地址。 因為域名解析的默認端口是80和443，後面發生的事情就和Nginx的作用一毛一樣了。域名解析到Traefik服務器的80端口（https則是443），Traefik發現這個域名已經註冊到服務中，於是代理到10.xx開頭的虛擬IP，轉發請求並發送response。與Nginx Conf如出一轍：

至此，我們已經完全實現從代碼提交，到自動部署以及域名解析的自動化。在生產環境的Traefik on Rancher中開啟Https，可以把ssl的整個信任鏈以文本的形式粘貼進去，同時修改Traefik的Https選項為true即可：

事實上對於Traefik我們是又愛又恨。它能非常方便的與Rancher集成，功能簡便強大，性能可觀。但在最開始著實踩了不少坑，一度打算放棄並回歸到傳統的Nginx做反向代理的方式，甚至寫了PR並被merge到master中。截止目前Rancher Catalog中最新的1.5版本，已經是一個真正穩定可用的版本了。

小技巧

Node.js的項目中書寫Dockerfile時，經常會用到yarn或者npm i來拉取依賴包。但npm的服務器遠在世界的另一端，這時可以使用淘寶的鏡像進行加速。通常我們在本地開發時執行會記得加上npm鏡像，在服務器上跑Dockerfile也是一樣的道理：

FROM node:alpine
WORKDIR /app
COPY package.json .
RUN npm i --registry https://registry.npm.taobao.org
COPY . .
CMD [ "node", "bin/www" ]

Drone在構建鏡像並推送到鏡像倉庫時，需要根據Dockerfile的基礎鏡像進行構建，而docker服務器也遠在世界的另一端，同樣的可以使用mirror來指定鏡像倉庫，並盡量使用alpine鏡像縮小體積：

pipeline:
  build_step:
    image: plugins/docker
    username: harbor_name
    password: harbor_pwd
    registry: harbor.company.com
    repo: harbor.company.com/repo/test
    mirror: 'https://registry.docker-cn.com'

作大死命令，不要在服務器上使用。但本地開發很好用。意思是停止所有container，刪除所有container，刪除所有image：

docker stop $(docker ps -aq) && docker rm $(docker ps -aq) && docker rmi $(docker images -aq)

結語（附帶工具鏈匯總）

iHealth基於Docker的DevOps CI/CD實踐