FluxCD: GitOps-доставка в Kubernetes без Jenkins

Компания «ДеплойПро» — 30 микросервисов в Kubernetes. CI/CD у них держался на Jenkins с 45 pipeline-ами. И вот где жало:

• Jenkins — единая точка отказа: обновление Jenkins → все деплои стоят
• Credentials sprawl: kubeconfig в Jenkins для доступа к кластеру
• Push-модель: Jenkins пушит в кластер. Нет гарантии, что состояние кластера = Git
• Drift: kubectl apply вручную + Jenkins = непонятно что реально в кластере

GitOps, как мы его видим, функционирует по pull-модели: это значит, что специальный агент прямо внутри кластера постоянно мониторит Git-репозиторий и самостоятельно следит за тем, чтобы кластер всегда соответствовал тому, что прописано в Git. По сути, Git превращается в наш single source of truth.

# Установка flux CLI
curl -s https://fluxcd.io/install.sh | bash
flux --version

# Bootstrap: FluxCD + Git репозиторий
flux bootstrap github \
  --owner=deploypro \
  --repository=k8s-gitops \
  --branch=main \
  --path=clusters/production \
  --personal

# Flux создаст в репозитории:
# clusters/production/flux-system/
#   gotk-components.yaml  — Flux controllers
#   gotk-sync.yaml        — GitRepository + Kustomization
#   kustomization.yaml

Структура GitOps-репозитория:

k8s-gitops/
├── clusters/
│   └── production/
│       ├── flux-system/       # Flux bootstrap (auto-generated)
│       ├── infrastructure.yaml # HelmRelease: nginx, cert-manager
│       └── apps.yaml          # Kustomization: приложения
├── infrastructure/
│   ├── nginx/
│   │   └── helmrelease.yaml
│   └── cert-manager/
│       └── helmrelease.yaml
└── apps/
    ├── orders-service/
    │   ├── deployment.yaml
    │   ├── service.yaml
    │   └── kustomization.yaml
    └── payments-service/
        ├── deployment.yaml
        ├── service.yaml
        └── kustomization.yaml

# apps/orders-service/deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: orders-service
  namespace: production
spec:
  replicas: 3
  selector:
    matchLabels:
      app: orders-service
  template:
    metadata:
      labels:
        app: orders-service
    spec:
      containers:
      - name: app
        image: registry.deploypro.ru/orders:v1.5.0
        ports:
        - containerPort: 8080
        resources:
          requests: { memory: 256Mi, cpu: 200m }
          limits: { memory: 512Mi, cpu: 500m }

# clusters/production/apps.yaml — Flux Kustomization
apiVersion: kustomize.toolkit.fluxcd.io/v1
kind: Kustomization
metadata:
  name: apps
  namespace: flux-system
spec:
  interval: 5m
  sourceRef:
    kind: GitRepository
    name: flux-system
  path: ./apps
  prune: true          # Удалять ресурсы, которых нет в Git
  healthChecks:
  - apiVersion: apps/v1
    kind: Deployment
    name: orders-service
    namespace: production

Деплой = git push:

# Обновление версии образа
sed -i 's/orders:v1.5.0/orders:v1.6.0/' apps/orders-service/deployment.yaml
git add . && git commit -m "Bump orders-service to v1.6.0"
git push

# Flux обнаружит изменение через 30 сек (interval: 5m максимум)
# Применит новый deployment
# Проверит health check
flux get kustomizations
# NAME  REVISION    READY  MESSAGE
# apps  main@sha1   True   Applied revision: main@sha1

Flux может автоматически обновлять image tag в Git при появлении нового образа в registry:

# ImageRepository — следит за registry
apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImageRepository
metadata:
  name: orders-service
  namespace: flux-system
spec:
  image: registry.deploypro.ru/orders
  interval: 5m

# ImagePolicy — правило выбора тега
apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImagePolicy
metadata:
  name: orders-service
  namespace: flux-system
spec:
  imageRepositoryRef:
    name: orders-service
  policy:
    semver:
      range: ">=1.0.0"  # Берёт последний semver-тег

# ImageUpdateAutomation — коммитит изменения в Git
apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImageUpdateAutomation
metadata:
  name: image-updater
  namespace: flux-system
spec:
  interval: 30m
  sourceRef:
    kind: GitRepository
    name: flux-system
  git:
    checkout:
      ref: { branch: main }
    commit:
      author: { name: FluxCD, email: flux@deploypro.ru }
      messageTemplate: "chore: update images {{range .Changed.Changes}}{{.OldValue}} → {{.NewValue}}{{end}}"
    push:
      branch: main
  update:
    path: ./apps
    strategy: Setters

Итог: CI собирает образ → пушит в registry → Flux замечает → коммитит новый тег в Git → применяет в кластере. Полностью автоматически.