搭建 Tekton CI/CD 流水线

适用场景

需要在 Kubernetes 原生环境中运行 CI/CD，任务以 Pod 执行，支持可复用 Task、Pipeline、Trigger 和 Dashboard。适合平台团队提供标准化流水线。

前置条件

• Kubernetes 集群和 kubectl。
• 容器镜像仓库和推送凭据。
• 代码仓库 Webhook 权限。
• 持久化卷或对象存储用于 Pipeline 之间共享文件。

步骤

1. 安装 Tekton Pipelines 和 Dashboard：

kubectl apply -f https://storage.googleapis.com/tekton-releases/pipeline/latest/release.yaml
kubectl apply -f https://storage.googleapis.com/tekton-releases/dashboard/latest/release.yaml
kubectl -n tekton-pipelines get pods

2. 创建 git clone Task：

kubectl apply -f - <<'EOF'
apiVersion: tekton.dev/v1
kind: Task
metadata:
  name: git-clone
spec:
  params:
  - name: url
    type: string
  workspaces:
  - name: source
  steps:
  - name: clone
    image: alpine/git
    script: |
      git clone $(params.url) $(workspaces.source.path)/src
EOF

3. 创建构建镜像 Task（示例用 Kaniko）：

kubectl apply -f - <<'EOF'
apiVersion: tekton.dev/v1
kind: Task
metadata:
  name: build-push
spec:
  params:
  - name: image
    type: string
  workspaces:
  - name: source
  steps:
  - name: build
    image: gcr.io/kaniko-project/executor:latest
    args:
    - --dockerfile=$(workspaces.source.path)/src/Dockerfile
    - --context=$(workspaces.source.path)/src
    - --destination=$(params.image)
EOF

4. 创建 Pipeline：

kubectl apply -f - <<'EOF'
apiVersion: tekton.dev/v1
kind: Pipeline
metadata:
  name: build-app
spec:
  params:
  - name: repo-url
  - name: image
  workspaces:
  - name: shared
  tasks:
  - name: clone
    taskRef: {name: git-clone}
    params: [{name: url, value: $(params.repo-url)}]
    workspaces: [{name: source, workspace: shared}]
  - name: build
    runAfter: [clone]
    taskRef: {name: build-push}
    params: [{name: image, value: $(params.image)}]
    workspaces: [{name: source, workspace: shared}]
EOF

5. 运行 Pipeline：

kubectl apply -f - <<'EOF'
apiVersion: tekton.dev/v1
kind: PipelineRun
metadata:
  generateName: build-app-
spec:
  pipelineRef: {name: build-app}
  params:
  - {name: repo-url, value: https://github.com/example/app.git}
  - {name: image, value: registry.example.com/app:latest}
  workspaces:
  - name: shared
    volumeClaimTemplate:
      spec:
        accessModes: [ReadWriteOnce]
        resources: {requests: {storage: 1Gi}}
EOF

验证

• PipelineRun 状态为 Succeeded。
• 镜像已推送到仓库。
• Dashboard 能看到 Task 日志和耗时。
• Trigger 能接收 Webhook 并自动创建 PipelineRun。

回滚

• 删除 PipelineRun 不影响已构建镜像。
• 保留 Task/Pipeline 的旧版本，回滚时重新 apply。
• 升级 Tekton 前备份 CRD 和 Pipeline 定义。
• 镜像回滚使用不可变 tag 或 digest。

常见坑

• Workspace 没有持久化，Task 之间文件丢失。
• ServiceAccount 没有仓库推送权限，Kaniko 推送失败。
• Trigger 的 Webhook 密钥和仓库配置不一致。
• Task 镜像过大，Pod 启动慢。
• Pipeline 没有 finally 清理，失败后资源残留。
• 并发 PipelineRun 争抢同一个 workspace。
• Dashboard 暴露公网且没有认证。

相关命令

• tkn — Tekton CLI
• kubectl — 查看 Task、Pipeline、PipelineRun
• kaniko — 构建镜像
• git — 代码拉取