El pipeline de entrega como superficie de diseño

Un pipeline hace dos cosas de naturaleza distinta. Construir ejecuta código que viene de los repositorios, incluido código que puede haber escrito alguien con menos confianza, para producir un artefacto. Desplegar usa una credencial con poder sobre producción para poner ese artefacto en marcha.

Si las dos tareas corren en el mismo ejecutor con la misma identidad, todo lo que se ejecute durante la construcción está a un paso de la credencial de despliegue. Separar las identidades no cuesta un cambio de herramienta: cuesta decidir que quien construye no puede desplegar.

Un ejecutor es la máquina o el entorno donde corren los trabajos del pipeline. Uno efímero se crea para un trabajo y se destruye después. Uno permanente conserva el estado de un trabajo a otro y, si lo comparten varios flujos, lo que uno deja puede leerlo el siguiente.

Consulta los ejecutores y mira con qué flujos se comparte cada uno y si se reinicia entre trabajos.

Una credencial de despliegue vale tanto como el acceso que da y dura tanto como tarde en rotarse. Las que nunca se rotan acumulan lugares donde pudieron copiarse: registros, copias de seguridad, equipos de personas que ya se fueron. El diseño sano acota el alcance y acorta la vida.

Consulta las cuentas de despliegue y revisa su alcance en el clúster y su rotación.

Una aprobación humana antes de producción no existe para frenar la entrega sino para que alguien responda por lo que se despliega. Que el pipeline pueda llegar a producción sin ella es una decisión de diseño, que puede ser razonable para una reversión de emergencia o inaceptable para una versión nueva.

Cuenta cuántos flujos llegan a producción sin aprobación humana.

El equipo propone resolver la credencial eterna con una tarea mensual de rotación manual. Es mejor que nada, pero deja la credencial viva todo el mes y depende de que alguien se acuerde. Un diseño más sólido es que cada trabajo de despliegue reciba una credencial emitida para él, con alcance limitado a su espacio de nombres y que caduque al terminar.