Separación entre repositorio de aplicación y de entorno

Un repositorio de aplicación contiene el código y lo escriben quienes desarrollan. Uno de entorno contiene los manifiestos o la configuración de cada entorno y define lo que corre. Separarlos permite que los permisos sean distintos: quien desarrolla no tiene por qué poder cambiar producción, y el historial del entorno es el registro de lo que se desplegó y quién lo aprobó.

Si el pipeline de la aplicación puede escribir en el repositorio de entorno saltándose la revisión, la separación queda sobre el papel: quien controle el pipeline controla producción.

El paso final de un pipeline de aplicación suele ser actualizar la etiqueta de la imagen en el repositorio de entorno. Para eso el CI usa una credencial con escritura. tokens-ci.txt lista las credenciales, los repositorios donde escriben y si pueden saltarse la revisión de la rama.

Los administradores de un repositorio pueden cambiar sus reglas, también las de protección de la rama. En el repositorio de entorno de producción, cada administrador es alguien que puede apagar la revisión obligatoria. La lista debería ser corta y estar justificada.

repos-y-permisos.txt indica los administradores de cada repositorio. Cuenta los del de producción.

flujo-catalogo.txt describe los pasos del pipeline de la aplicación de catálogo. Los primeros construyen y publican; los últimos tocan el repositorio de entorno. Uno de ellos confirma el cambio de forma directa en la rama principal del repositorio de producción, sin solicitud de cambio.

El pipeline necesita poder proponer cambios al entorno; lo que no necesita es poder aprobarlos. En desarrollo, donde la revisión cuesta más que el riesgo, un cambio automático puede ser razonable. En producción, no.