Portainer EE CI 镜像文档

一、镜像概述和主要用途

Portainer EE CI 镜像是 Portainer Enterprise Edition（企业版）的持续集成（CI）专用镜像，旨在为企业级容器环境提供自动化的CI流程支持。该镜像集成了Portainer EE的核心容器管理能力与CI工具链，可无缝对接GitLab CI/CD、Jenkins、GitHub Actions等主流CI平台，实现容器镜像构建、测试、部署的全流程自动化。其主要用途包括：企业级容器应用的CI流程编排、多集群镜像同步、CI环境资源监控与权限控制等。

二、核心功能和特性

1. 企业级CI流程集成

• 支持主流CI平台（GitLab CI/CD、Jenkins、GitHub Actions）的插件式集成，提供标准化CI配置模板。
• 内置镜像构建缓存机制，加速CI流程中的镜像编译步骤。

2. 多环境管理能力

• 支持Docker、Kubernetes、Docker Swarm等多容器环境的CI部署目标，可一键切换部署集群。
• 提供跨环境镜像同步功能，确保CI流程中构建的镜像在多集群间一致性分发。

3. 安全与权限控制

• 集成企业级RBAC权限模型，支持按CI流水线、项目或用户粒度配置操作权限。
• 内置镜像漏洞扫描（与Trivy、Clair等工具集成），在CI阶段拦截不安全镜像部署。

4. 监控与可观测性

• 实时监控CI流程中的资源占用（CPU、内存、网络），提供可视化仪表盘。
• 支持CI任务日志集中存储与检索，便于问题排查与审计。

5. 高可用性设计

• 支持多节点部署模式，CI任务可分布式执行，避免单点故障影响流程连续性。

二、使用场景和适用范围

1. 企业级DevOps流程落地

适用于采用DevOps模式的企业，通过该镜像将容器管理与CI流程深度整合，实现"代码提交→自动构建→测试→部署"的全自动化流水线。

2. 多集群容器应用部署

适用于管理多Kubernetes/Docker集群的企业，通过CI流程自动化实现跨集群应用部署，降低人工操作成本。

3. 大型团队协作场景

支持多团队并行CI流程，通过资源隔离与权限控制，确保不同项目的CI任务独立运行，避免资源冲突。

4. 合规性要求严格的行业

金融、医疗等对合规性要求高的行业，可通过该镜像的审计日志、镜像签名验证等功能，满足CI流程的合规性追溯需求。

三、使用方法和配置说明

1. 前置条件

• 宿主环境需安装Docker 20.10+或Kubernetes 1.21+。
• 需提前准备CI平台（如GitLab CI/CD）的访问令牌（Token）及目标集群的API凭证。
• 宿主机需开放8000（HTTP）、9443（HTTPS）端口（默认端口，可自定义）。

2. 快速启动（Docker Run 命令）

docker run -d \
  --name portainer-ee-ci \
  --restart always \
  -p 8000:8000 \
  -p 9443:9443 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v portainer_data:/data \
  -e ADMIN_PASSWORD="your_strong_password" \
  -e CI_PLATFORM="gitlab" \
  -e CI_TOKEN="your_gitlab_ci_token" \
  portainer/portainer-ee-ci:latest

参数说明：

• -v /var/run/docker.sock:/var/run/docker.sock：挂载Docker守护进程 socket，用于管理宿主机容器环境（Kubernetes环境需替换为kubeconfig挂载）。
• -v portainer_data:/data：持久化存储CI配置、日志及权限数据。
• ADMIN_PASSWORD：Portainer EE管理员密码（必填，长度≥8位）。
• CI_PLATFORM：指定集成的CI平台（支持gitlab/jenkins/github）。
• CI_TOKEN：CI平台的访问令牌（用于拉取代码、触发流水线）。

3. Docker Compose 配置示例

version: '3.8'
services:
  portainer-ee-ci:
    image: portainer/portainer-ee-ci:latest
    container_name: portainer-ee-ci
    restart: always
    ports:
      - "8000:8000"   # HTTP端口
      - "9443:9443"   # HTTPS端口
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock  # Docker环境（K8s环境替换为下方kubeconfig挂载）
      # - /root/.kube/config:/root/.kube/config    # Kubernetes环境（需挂载kubeconfig文件）
      - portainer_data:/data
    environment:
      - ADMIN_PASSWORD="your_strong_password"
      - CI_PLATFORM="gitlab"
      - CI_TOKEN="your_gitlab_ci_token"
      - LOG_LEVEL="info"  # 日志级别：debug/info/warn/error
      - CACHE_SIZE="10GB" # CI镜像构建缓存大小限制
      - CLUSTER_SYNC_INTERVAL="5m"  # 多集群镜像同步间隔（默认5分钟）

volumes:
  portainer_data:

4. 核心环境变量配置

5. 访问与初始化配置

1. 启动容器后，通过 https://<宿主机IP>:9443 或 http://<宿主机IP>:8000 访问Portainer EE CI控制台。
2. 使用 ADMIN_PASSWORD 登录管理员账户，根据引导完成CI平台对接（如GitLab仓库URL、分支过滤规则配置）。
3. 在控制台"CI流水线"模块创建流水线，选择预定义模板（如"Docker镜像构建→K8s部署"），配置触发条件（如代码提交、定时触发）。

四、注意事项

1. 生产环境建议启用HTTPS（默认启用），并替换默认TLS证书为企业自签名或CA颁发证书（通过挂载/data/certs目录实现）。
2. CI流程中涉及的镜像仓库（如Docker Hub、私有Harbor）需提前在Portainer EE CI控制台配置访问凭证，避免构建/拉取镜像失败。
3. 多集群环境下，需确保目标集群已安装Portainer Agent，并在控制台"环境管理"中添加集群连接信息。