razorpay/drone-kubernetes

Kubernetes 插件 for Drone.io

镜像概述

该镜像为Drone CI/CD平台的Kubernetes部署插件，用于在流水线中自动化更新Kubernetes集群中的Deployment或DaemonSet资源，支持证书（TLS）和token两种认证方式，适配RBAC权限控制模型，满足企业级K8s应用的持续交付需求。

核心功能

• 支持证书认证（client-cert）和token认证两种模式
• 可更新Kubernetes的Deployment或DaemonSet资源
• 适配Kubernetes RBAC权限机制，需配置对应ServiceAccount及权限绑定
• 支持多集群、多命名空间的部署场景

使用场景

• Drone CI/CD流水线中自动化部署或更新Kubernetes应用
• 多环境（开发、测试、生产）下的K8s应用持续交付
• 需要严格权限控制的企业级Kubernetes集群部署

配置说明

流水线配置示例

yaml
pipeline:
  deploy:
    image: razorpay/drone-kubernetes
    pull: true
    kind: deployment  # 可选值：deployment | daemonset，必填
    secrets:
      - docker_username
      - docker_password
      - server_url_<cluster>
      - server_cert_<cluster>
      - client_cert_<cluster>  # auth_mode为client-cert时需要
      - client_key_<cluster>   # auth_mode为client-cert时需要
      - server_token_<cluster> # auth_mode为token时需要
    user: <kubernetes-user>  # 拥有集群角色绑定的用户
    cluster: <kubernetes-cluster>
    auth_mode: client-cert  # 可选值：token | client-cert
    deployment: [<deployment-name1>, <deployment-name2>]
    repo: <org/repo>
    namespace: <kubernetes-namespace>
    tag:
      - ${DRONE_REPO_BRANCH}-${DRONE_COMMIT_SHA}
    when:
      environment: <target-environment>
      branch: [<main>, <release/*>]
      event:
        exclude: [push, pull_request, tag]
        include: [deployment]

必要Secrets配置

Token认证所需Secrets

• server_url_<cluster>: Kubernetes API服务器地址
• server_token_<cluster>: 认证token（可通过kubectl get secret <secret-name> -o yaml | grep token:获取）

证书认证所需Secrets

• server_url_<cluster>: Kubernetes API服务器地址
• server_cert_<cluster>: CA证书（base64编码）
• client_cert_<cluster>: 客户端证书（base64编码）
• client_key_<cluster>: 客户端密钥（base64编码）

RBAC权限配置示例（web命名空间）

yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: drone-deploy
  namespace: web

---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: Role
metadata:
  name: drone-deploy
  namespace: web
rules:
  - apiGroups: ["extensions"]
    resources: ["deployments"]
    verbs: ["get", "list", "patch", "update"]

---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: RoleBinding
metadata:
  name: drone-deploy
  namespace: web
subjects:
  - kind: ServiceAccount
    name: drone-deploy
    namespace: web
roleRef:
  kind: Role
  name: drone-deploy
  apiGroup: rbac.authorization.k8s.io