Co je CI/CD: definice, cíle a přínosy
CI/CD (Continuous Integration / Continuous Delivery / Continuous Deployment) je soubor postupů, nástrojů a kulturních principů, jejichž cílem je bezpečně a rychle doručovat změny softwaru do produkčního prostředí. Continuous Integration automatizuje sestavení a testování každé změny v hlavní větvi. Continuous Delivery udržuje artefakt ve stavu připraveném k vydání a umožňuje kdykoliv provést řízené nasazení. Continuous Deployment jde o krok dále a po úspěšných kontrolách nasazuje změny automaticky bez manuálního zásahu. Mezi hlavní přínosy patří kratší lead time, vyšší kvalita, nižší riziko vydání a rychlá zpětná vazba.
Základní principy a stavební kameny
- Malé, časté změny: minimalizují riziko a urychlují učení se.
- Automatizace a opakovatelnost: pipeline jako kód, deterministické buildy a testy.
- Shift-left kvalita a bezpečnost: statická analýza, bezpečnostní skeny a testy spouštěné co nejdříve v procesu.
- Trvalá pozorovatelnost: metriky, logy a tracing pro rychlou diagnostiku.
- Reverzibilita: bezpečné rollbacky, feature flagy a databázové strategie umožňující návrat změn.
Architektura CI/CD pipeline: vrstvy a toky
- Zdrojový kód a verzování: Git (strategie větvení, pull/merge requesty, code review).
- Build a závislosti: deterministické sestavení, zafixované verze balíčků, cache buildů.
- Testovací vrstvy: jednotkové → kontraktní → integrační → end-to-end → nefunkční (výkon, bezpečnost).
- Tvorba artefaktů: binární soubory, kontejnery, Helm charty, sbalené front-end balíčky.
- Publikace artefaktů: registry (OCI, Maven/NPM), artefaktové repozitáře.
- Provisioning prostředí: IaC (Terraform, Pulumi), šablony prostředí, dočasná preview prostředí.
- Nasazení: skripty/operátory, GitOps, orchestrací releasů, schvalovací brány.
- Post-deploy kontroly: smoke testy, kontroly stavu aplikace, automatizované rollbacky.
Branching a integrační strategie
- Trunk-based development: krátké větve, rychlé sloučení, feature flagy pro nehotové části.
- GitFlow (omezovaně): release/hotfix větve pro organizace s delšími cykly – vyšší režie.
- PR-driven integrace: povinné kontroly (build, testy, skeny), required reviews a status checks.
Spouštěče (triggery) a škálování běhů
- Na commit/push: rychlá základní validace (lint, jednotkové testy).
- Na pull/merge request: kompletní build, testy, bezpečnostní kontroly, generování náhledů.
- Na tag/release: tvorba finálního artefaktu, podpisy, publikace do registrů.
- Plánované běhy: noční regresní sady, auditní skeny, periodický chaos testing.
Deterministické buildy a správa závislostí
- Lockfiles a pinning verzí:
package-lock.json,poetry.lock,go.sum,requirements.txts hashem. - Reprodukovatelné kontejnery: multi-stage Dockerfile, minimální základ, explicitní digesty (
@sha256), SBOM (Software Bill of Materials). - Cache a ekonomika artefaktů: ukládání závislostí a výstupů buildů mezi běhy, klíčování cache podle kontrolních součtů.
Testovací pyramida a kvalita
- Lint a statická analýza: ESLint, Pylint, Checkstyle; formátování (Prettier, Black).
- Jednotkové testy: rychlé, izolované, vysoké pokrytí kritické logiky.
- Kontraktní testy a komponentové testy: stabilita rozhraní mezi službami, testy UI komponent.
- Integrační a E2E testy: realistické prostředí, testování datových toků a vedlejších efektů.
- Nefunkční testy: výkon (load, soak), spolehlivost (chaos), kompatibilita prohlížečů.
Bezpečnost v CI/CD (DevSecOps)
- SAST/DAST/IAST: statická a dynamická analýza, interaktivní skeny během integračních běhů.
- SCA a SBOM: skenování zranitelností v závislostech a generování přehledu komponent.
- Secrety a identity: žádné tajné údaje v repozitáři; použití OIDC workload identity, short-lived tokenů, KMS/Secrets Manager.
- Supply chain: podepisování artefaktů (Sigstore/Cosign), politiky ověřující původ (policy as code), izolované běhové prostředí.
Artefakty a registry
- Artefaktové repozitáře: Maven/NuGet/NPM registry, OCI registry pro kontejnery a Helm charty.
- Verzování a metadata: semver, čísla buildů, provenance, attestations.
- Retence a úklid: politiky uchovávání, deduplikace, archivace dlouhodobých vydání.
Prostředí, IaC a ephemerální náhledy
- Infrastructure as Code: Terraform/Pulumi, kontrola přes code review, běhy s
plan–>applyv pipeline. - Šablony prostředí: identická staging/QA/production schémata, parametrizace přes proměnné a secrety.
- Ephemerální prostředí: automatická tvorba a zánik prostředí pro každý PR, náhledy UI a sandbox dat.
Strategie nasazení a řízení rizik
| Strategie | Výhody | Nevýhody | Vhodné pro |
|---|---|---|---|
| Blue-Green | Okamžitý přepínač, rychlý rollback | Vyšší náklady na duplicitní prostředí | Kritické systémy, nízká tolerance výpadku |
| Canary | Postupná expozice, řízené riziko | Složitější orchestrátor a metriky | Velké uživatelské základny, A/B validace |
| Rolling | Bez odstávky, běžné v Kubernetes | Může zakrýt problémy bez kvalitního monitoringu | Stateless služby |
| Feature flagy | Oddělení releasu od aktivace, cílené zpřístupnění | Potřeba správy flagů a úklidu | Produktové experimenty, postupné rollouty |
Databázové změny a kompatibilita
- Expand-migrate-contract: nejprve přidat nové schéma, nasadit kompatibilní aplikaci, poté odstranit staré části.
- Migrační nástroje: Liquibase, Flyway; verze migrací jako součást artefaktu.
- Bezpečné rollbacky: idempotentní skripty, zálohy, feature toggles pro schémata.
Observabilita po nasazení
- SLO/SLI a error budget: jasné cíle dostupnosti a výkonu jako brány pro vydání.
- Monitoring: metriky latence/chybovosti, syntetické testy, RUM pro front-end.
- Tracing a logy: distribuované trasování (OpenTelemetry), korelace s releasem a číslem buildu.
- Automatizovaný rollback: watchdog sledující metriky spouští návrat na předchozí verzi.
Kontroly, schvalování a compliance
- Quality gates: minimální pokrytí, nulové kritické zranitelnosti, výkonové thresholdy.
- Čtyř-oko princip: povinné review a oddělení rolí (separation of duties).
- Auditní stopa: podpisy, historie artefaktů, schvalovací workflow.
- Policy as code: OPA/Conftest, validace IaC a manifestů před nasazením.
Pipeline jako kód a dobré praktiky návrhu
- Modularita: znovupoužitelné kroky, knihovny workflow, šablony.
- Idempotence: opakovaný běh vede k identickému výsledku, bez skrytých stavů.
- Paralelizace: současné úlohy (testovací shardy), fail-fast chování.
- Podmínky a matice: multiplatformní buildy (OS/arch/verze runtimu) bez duplikace kódu.
- Bezpečný přístup: princip minimálních oprávnění pro běhové identity a deployment klíče.
Monorepo vs. polyrepo a mikroservisy
- Monorepo: centralizované dependency graphy, sdílené pipeline, incremental builds; vyžaduje inteligentní detekci změn.
- Polyrepo: jednodušší vlastnictví, menší blast radius; složitější verzování cross-repo změn.
- Mikroservisy: kontrakty, kontraktní testy, koordinace rolloutů a schémat, nezávislý release cadence.
Metriky výkonnosti doručování (DORA)
| Metrika | Co měří | Cíl |
|---|---|---|
| Frekvence nasazení | Počet nasazení za stanovené období | Vysoká a stabilní |
| Lead time for changes | Čas od commitu do produkce | Krátký (hodiny–dny) |
| MTTR | Čas obnovy po incidentu | Minuty–hodiny |
| Change failure rate | Podíl nasazení, která způsobí incident | Nízký (pod 15 %) |
GitOps a cloud-native nasazování
- Git jako zdroj pravdy: požadovaný stav uložen v repozitáři; cluster reconcilery (Argo CD, Flux) zajišťují jeho soulady.
- Deklarativní manifesty: Kubernetes, Helm/Kustomize; progressive delivery (Argo Rollouts, Flagger).
- Oddělení build vs. deploy: CI produkuje artefakt, CD implementuje deklarativní aplikaci změn.
Specifika front-endu, mobilu a dat/ML
- Front-end: build matice pro prohlížeče, vizuální regrese, metriky bundle a Web Vitals jako gate.
- Mobil: podepisování aplikací, distribuční kanály (TestFlight/Play), feature flagy a experimenty, řízené rollouty.
- Data a ML (MLOps): verzování datových sad, reprodukovatelné tréninky, registr modelů, monitorování fairness a driftu, schvalování před inferencí.
Ekonomika a ekologie CI/CD
- Cost-aware pipeline: caching, paralelizace s limity, on-demand běhová prostředí, vypínání neaktivních runnerů.
- Green DevOps: konsolidace úloh, plánování energeticky náročných testů mimo špičku, sledování emisní stopy buildů.
Checklist pro robustní CI/CD
- Pipeline a infrastruktura jako kód, verzováno a recenzováno.
- Spolehlivé testy se stabilní sadou dat a jasnými gate podmínkami.
- Bezpečnostní skeny (SAST/SCA/DAST) a SBOM generován pro každý build.
- Deterministické artefakty, podepsané a uložené v registrech s retencí.
- Prostředí vytvářené pomocí IaC, ephemerální preview pro pull requesty.
- Progressive delivery (canary/feature flags) a automatizovaný rollback.
- Observabilita napojená na release (metriky, logy, tracing, alerting).
- DORA metriky, retrospektivy a kontinuální zlepšování pipeline.
Antipatterny, kterým se vyhnout
- „Snowflake“ prostředí: ručně konfigurované servery bez použití IaC.
- Vložené secrecy v repozitáři: místo toho používejte tajné úložiště a krátkodobé identity.
- Monolitická, pomalá pipeline: chybí paralelizace, caching a selektivní spouštění pouze pro změněné moduly.
- Nestabilní (flaky) testy: oslabují důvěru; vyžadují karanténu, opravu nebo odstranění.
- Nedostatek metrik a zpětné vazby: bez měření není možné zlepšovat proces.
Závěr: CI/CD jako provozní schopnost organizace
CI/CD není pouze nástroj nebo skript – je to disciplína, která propojuje vývoj, bezpečnost a provoz do jednoho kontinuálního toku hodnoty. Úspěch vyžaduje malé a časté změny, automatizované a deterministické buildy, kvalitní testování, deklarativní
