北纬科技：从自研PaaS到拥抱云效，实现持续交付

1、技术优化

基础镜像优化：由于每次构建Java镜像会导致镜像体积过大，OpenJDK官方的镜像大小为488MB，如果每次构建的镜像都这么大的话，对网络、存储等的影响及费用都会比较大，因此我们采用分开构建的形式，基础镜像如JDK、PHP、GO、Nginx等镜像由运维人员维护，提供基础环境及K8s的主镜像。开发人员构建的镜像采用busybox镜像，该镜像仅有基础的Linux功能，因此只有1.23MB，该镜像只添加程序构建的产物如可执行文件、jar包或者html文件等，作为InitContainer容器，在启动时将构建产物复制到基础镜像中。该方案大大缩小了docker镜像的大小和docker拉取镜像的网络开销。

流水线优化：基于一次构建，多次部署的思想，我们将构建和部署流水线做了分离，这样构建一次，开发、测试、生产可以多次部署，且部署的版本可以不同。

定制化不同的流水线模板，根据不同事业部，不同业务需求形式、技术开发特定的要求，制定符合各业务线的流水线模板。

2、成本优化

经过了对企业应用部署的研究，我们在ACK集群上借助kubernetes提供的LimitRange的能力，对每一个命名空间做了一个基础容量的大小限制（CPU 500m，Memory 512Mi），而在应用的部署配置文件上为开发人员提供了设置cpu及memory的配置项，且提供了默认值。如果开发人员经过评估和开发环境、测试环境的验证，需要增加容量的，可以申请对该命名空间提高限制。一方面将一部分ops能力下放给developer，另一个方面，通过对资源的主动和被动调节，大大节省了成本，降低了原来自研平台上任意配置资源的问题。

同时通过云效的Maven服务、代码管理服务，替代了原有平台搭建的代码管理服务器、Maven服务器。不仅降低硬件成本资源，同时也降低维护此类服务器的人力成本。

3、安全优化

代码质量优化：得益于云效的代码扫描流水线中的代码扫描及安全扫描的任务插件，我们对于质量和安全的接入管理方便。

我们在流水线模板中引入了代码扫描及安全扫描，同时在生产环境加入了人工卡点的流程，作为审核，保证扫描结果符合要求。代码扫描结果如下图。

代码扫描结果详细报告如下图。

代码安全：借助于云效的代码管理，将公司所有代码进行统一管理，根据不同事业部，不同业务线对代码进行分层、分组管理，并对代码组权限进行严格控制，减少代码作为公司重要资源泄露的风险。

同时通过云效提供的敏感信息扫描，及时发现硬编码等问题，提高代码安全质量。

代码库敏感信息检测

权限控制：我司对权限及流程有着严格的要求及制度。云效对于不同的产品提供了不同维度的权限，满足了“最少权限”的原则。以流水线为例，根据不同场景设置管理员、技术负责人、运维人员、开发人员不同的角色，更细粒度低管控流水线的权限。