Ενέργειες GitHub: Αυτόματη απελευθέρωση

(Τμήμα: Τεχνολογία και Υποδομές)

Σύντομη Περίληψη

Το GitHub Actions είναι ένας εγγενής «αγωγός ως κωδικός» στο αποθετήριο. Για iGaming, αυτές είναι γρήγορες και ασφαλείς εκλύσεις backends, frontends, ETL/DBT και ML/LLM υπηρεσίες: δοκιμαστικοί πίνακες, μνήμη εξάρτησης, απομονωμένες ομάδες δρομέων, επαναχρησιμοποίητες ροές εργασίας για ομοιόμορφα πρότυπα, OIDC αντί για μακρόβια μυστικά, υπογραφή και SOM, κυκλοφορίες με ετικέτες και GitOps-εξογκώματα μανιφέστου. Το κλειδί είναι τα πρότυπα και οι πύλες ποιότητας/ασφάλειας για τη διατήρηση του p99 και του κόστους υπό έλεγχο.

1) Αρχιτεκτονικές αρχές

Αγωγοί ως κωδικός ('.github/ροές εργασίας/.yml'), DRY μέσω επαναχρησιμοποιήσιμων/σύνθετων δράσεων.
Ομάδες δρομέων: φιλοξενούμενες (ubuntu-latest) + αυτο-φιλοξενούμενες (K8s/VM, GPU για ML).
Περιβάλλοντα: «dev/stage/prod» με απαιτούμενους κριτές, χρονοδιαγράμματα και περιβαλλοντικά μυστικά.
Πολιτικές: προστατευόμενα υποκαταστήματα/ετικέτες, CODEOWNERS, υποχρεωτικοί έλεγχοι.
Παρατηρησιμότητα: περιλήψεις θέσεων εργασίας, τεχνουργήματα, καταγραφή, μετρήσεις διάρκειας.

2) Βασικό υπόδειγμα CI → CD (backend)

yaml name: ci-cd-backend on:
pull_request:
branches: [ main ]
push:
tags: [ "v" ]
permissions:
contents: read id-token: write    # для OIDC packages: write

env:
IMAGE: ghcr. io/${{ github. repository }}/api:${{ github. sha }}

jobs:
lint_test:
runs-on: ubuntu-latest steps:
- uses: actions/checkout@v4
- uses: actions/setup-python@v5 with: { python-version: '3. 12' }
- name: Cache pip uses: actions/cache@v4 with:
path: ~/.cache/pip key: pip-${{ runner. os }}-${{ hashFiles('requirements. txt') }}
- run: pip install -r requirements. txt
- run: make lint && make test
- name: Build & push image (BuildKit)
uses: docker/build-push-action@v6 with:
push: ${{ github. event_name == 'push' }}
tags: ${{ env. IMAGE }}
cache-from: type=gha cache-to: type=gha,mode=max

security:
needs: [ lint_test ]
runs-on: ubuntu-latest steps:
- uses: actions/checkout@v4
- name: SCA/SAST/Secrets uses: your-org/security-composite@v3  # Composite Action вашей орг.

release_prod:
if: startsWith(github. ref, 'refs/tags/v')
needs: [ security ]
runs-on: ubuntu-latest environment: production steps:
- uses: actions/checkout@v4
- name: SBOM & Sign uses: your-org/sbom-sign-action@v2 with:
image: ${{ env. IMAGE }}
- name: GitOps bump manifests uses: your-org/gitops-bump@v2 with:
image: ${{ env. IMAGE }}
path: apps/api/values. yaml

Ιδέα: PR → lint/units → security → by tag 'v' - SBOM/signature and GitOps-bump manifestos for deploy.

3) Επαναχρησιμοποίηση: Επαναχρησιμοποιήσιμο/Σύνθετο

Επαναχρησιμοποιήσιμες ροές εργασίας: ενιαία υποδείγματα αγωγών για όλες τις υπηρεσίες (σε χωριστή συμφωνία επαναγοράς «.github»).
Σύνθετες ενέργειες: συγκόλληση επαναλαμβανόμενων βημάτων (lint/μονάδες/σαρώσεις).

yaml jobs:
ci_template:
uses: your-org/ci-templates/.github/workflows/python. yml@v3 with:
python: '3. 12'
run-tests: true

4) Πίνακες, κρύπτες και επιδόσεις

"strategy. πίνακας "για παράλληλες δοκιμές (γλώσσες/DB/OS).
Cache: «δράσεις/κρυφή μνήμη» για εξαρτήσεις· BuildKit с 'cache-to: gha', πληρεξούσια εξάρτησης.
Ανταγωνιστικότητα: 'concurrency: group: api- $ {github. ref}}, ακύρωση: αλήθεια '- εξοικονομεί λεπτά.
Αντικείμενα: αναφορές αποθήκευσης/κάλυψη/προφίλ με «ημέρες διατήρησης».

yaml strategy:
matrix:
py: [ '3. 10', '3. 12' ]
db: [ 'mysql', 'postgres' ]

5) Περιβάλλοντα и εγκρίσεις

Ρύθμιση απαιτούμενων κριτών για την «παραγωγή» (χειροκίνητη πύλη).
Περιβαλλοντικά μυστικά: ανάπτυξη σημάτων, πλήκτρων υπογραφής, URL περίπτερο.
Προεπισκόπηση της διάρκειας ζωής του περιβάλλοντος (αυτόματη λήξη) για τον έλεγχο του κόστους.

6) Πρόσβαση OIDC σε σύννεφα (χωρίς μακρόβια μυστικά)

Ενεργοποίηση 'id-token: γράψτε', ρυθμίστε την πολιτική εμπιστοσύνης στο σύννεφο και χρησιμοποιήστε προσωρινές πιστώσεις.
Εφαρμόζεται για AWS/Azure/GCP/μητρώα τεχνουργημάτων/μυστικούς διαχειριστές.
Η αρχή του ελαχίστου προνομίου: ατομικοί ρόλοι στο «dev/stage/prod».

yaml
- name: Assume cloud role via OIDC uses: your-org/oidc-assume@v1 with:
role: arn:aws:iam::123:role/gha-deploy-prod

7) Ελευθερώσεις, ετικέτες και τεχνουργήματα

Έκδοση με ετικέτα: changelog, έκδοση περιουσιακών στοιχείων, δημοσίευση εικόνων/πακέτων.
Ατρωσία: ετικέτες «μόνο προς τα εμπρός», υπογραφή εμπορευματοκιβωτίου/χάρτη.
SBOM (CycloneDX/SPDX) + υπογραφή (cosign/sigstore) - μη υπογεγραμμένη πύλη - καμία ανάπτυξη.

8) GitOps и προοδευτική υλοποίηση

Το CD δεν είναι «από δράσεις», αλλά μέσω δημοσίων σχέσεων/δεσμεύεται για ένα δηλωτικό επαναγοράς (Argo CD/Flux).
Canary/blue-green: βάρος/έκδοση GitOps-bump βήματα. αυτόματη προώθηση σε μετρήσεις SLO.

yaml
- uses: mikefarah/yq@v4 with:
cmd: yq -i '.image = strenv(IMAGE)' apps/api/values. yaml
- run:
git config user. name "gha-bot"
git commit -am "bump api -> $IMAGE" && git push

9) Ασφάλεια αγωγών και εφοδιαστικής αλυσίδας

Ποιος μπορεί να τρέξει: μόνο από προστατευόμενα υποκαταστήματα/ετικέτες, με απαιτούμενους ελέγχους.
Σάρωση: SAST/SCA/Secret-scan, DAST σε περιβάλλοντα προεπισκόπησης.
Υπογραφές: εικόνες, διαγράμματα Helm, δυαδικά. επαλήθευση κατά τη διάρκεια της εξάντλησης.
Πολιτικοί: αποστολές μόνο από αξιόπιστες ροές εργασίας· SHA pin for third-party actions.

10) Παρατηρησιμότητα, SLO και Chatops

Συνοπτικές εκθέσεις (JUnit/κάλυψη/σαρώσεις), καταστάσεις στις δημόσιες σχέσεις.
Μετρήσεις: διάρκεια σταδίου, επιτυχία/αποτυχία, ουρά δρομέα.
ChatOps: bot comments in PR (links to dashboards, preview URL), command /promote ', '/rollback' via 'workflow _ dispatch'.

11) Finops (κόστος πρακτικών και πόρων)

Ακύρωση νομίσματος για PR, πίνακας μόνο για τροποποιημένα μέρη (φίλτρο μονοπατιών).
Υγιεινή των αντικειμένων: «ημέρες κατακράτησης», auto-close preview env.
Αυτόνομες δεξαμενές για βαρέα συγκροτήματα/ML, νυχτερινές «ήσυχες ώρες».
Η μνήμη εξάρτησης και η μνήμη BuildKit GHA είναι σημαντικές οικονομίες.

12) Μονορέπος και Γονέας/Ενορχήστρωση Παιδιού

Ενεργοποίηση φακέλου/διαδρομής: ανεξάρτητες ροές εργασίας ανά συστατικό.
Επαναχρησιμοποίηση ως επίπεδο τυποποίησης μεταξύ ομάδων (πληρωμές/κίνδυνος/CRM/ETL/ML).
Διαχωρισμός μυστικών/περιβάλλοντων από κατασκευαστικά στοιχεία.

13) Υποδείγματα για iGaming

Α) Backend/API (Go/Node/Python)

yaml name: backend on: [ pull_request, push ]
jobs:
ci:
uses: your-org/ci-templates/.github/workflows/backend. yml@v3 release:
if: startsWith(github. ref, 'refs/tags/v')
uses: your-org/ci-templates/.github/workflows/release. yml@v3 secrets: inherit

Б) ETL/DBT

yaml name: etl-dbt on: [ pull_request ]
jobs:
dbt:
runs-on: ubuntu-latest steps:
- uses: actions/checkout@v4
- uses: actions/setup-python@v5 with: { python-version: '3. 11' }
- run: pip install dbt-core dbt-bigquery
- run: dbt deps && dbt run && dbt test
- name: Publish docs run: dbt docs generate && tar czf docs. tgz target/
load artifact, retention period 3 days uses: actions/upload-artifact @ v4 with: {name: dbt-docs, path: docs. tgz, retention-days: 3 }

B) ML/LLM (τεκμηριωμένα τεχνουργήματα)

yaml name: ml-pack on:
push:
tags: [ "model-" ]
jobs:
build-engine:
runs-on: self-hosted-gpu steps:
- uses: actions/checkout@v4
- run: python export_onnx. py
- run: trtexec --onnx=model. onnx --saveEngine=model. plan
- uses: actions/upload-artifact@v4 with: { name: engine, path: model. plan, retention-days: 7 }
- name: Sign & SBOM uses: your-org/sbom-sign-action@v2 with: { file: model. plan }

14) Κατάλογος ελέγχου εφαρμογής

1. Προσδιορίστε τα υποδείγματα CI/CD (επαναχρησιμοποιήσιμα/σύνθετα) και εφαρμόστε τα σε όλες τις συμφωνίες επαναγοράς.
2. Συμπεριλαμβάνονται περιβάλλοντα με εγκρίσεις και διαχωρισμένα μυστικά.
3. Μετάβαση στο OIDC σε σύννεφα/μυστικούς διαχειριστές, αφαίρεση ανθεκτικών κλειδιών.
4. Εισάγετε την υπογραφή SAST/SCA/Secrets/DAST, SBOM και τεχνουργήματος. κρίσιμες πύλες τρωτότητας.
5. Ρύθμιση GitOps: δηλωτικό-repo, αυτόματες εικόνες/εκδόσεις, καναρίνι/μπλε-πράσινο.
6. Βελτιστοποίηση μνήμης/πινάκων, 'concurrency. Ακύρωση εν εξελίξει ", εκκαθάριση τεχνουργημάτων.
7. Ανάπτυξη αυτόνομων δρομέων (συμπεριλαμβανομένων των GPU) με όρια και απομόνωση.
8. Ενεργοποιήστε το φίλτρο διαδρομών και τις ρυθμίσεις κανόνων για να αποφύγετε την οδήγηση επιπλέον jabs.
9. Προσθήκη ChatOps: καταστάσεις/εντολές; εκθέσεις στις δημόσιες σχέσεις.
10. Καθορισμός των πολιτικών ασφαλούς χρήσης των δράσεων (pin SHA, περιορισμός των εξωτερικών).

15) Αντιπατερίδια

Τα ίδια βήματα σε όλες τις repos αντί για Reusable/Complex → από τα πρότυπα συγχρονισμού.
Μακρόβια μυστικά νέφους σε μεταβλητές αντί για OIDC.

Απουσία περιβάλλοντος/εγκρίσεων για

Μη συμπιεσμένες εκδόσεις των δράσεων τρίτων → κίνδυνοι αλυσίδας εφοδιασμού.
Καμία SBOM/υπογραφές δεν → επαλήθευση σε CD.
Τεράστιοι πίνακες που πάντα τρέχουν → αυξάνεται το κόστος.
CD από δράσεις απευθείας στην παραγωγή χωρίς αλλαγές εντοπισμού GitOps.

Περίληψη

Οι δράσεις GitHub σας επιτρέπουν να κατασκευάσετε έναν ενιαίο, ασφαλή και αναπαραγώγιμο αγωγό απελευθερώσεων: τυποποίηση αγωγών μέσω επαναχρησιμοποιήσιμων/σύνθετων, χρήση OIDC και περιβάλλοντα με εγκρίσεις, εφαρμογή SBOM/υπογραφή, μεταφορά CD σε GitOps με προοδευτική παράδοση και κόστος υπό έλεγχο μέσω cache/matrices/ανταγωνιστικότητα. Αυτή η προσέγγιση επιταχύνει το ρυθμό του προϊόντος iGaming, διατηρεί την ποιότητα και μειώνει τους λειτουργικούς κινδύνους.