devops-deployment

DevOps・デプロイメントスキル

CI/CD パイプライン、コンテナ化、デプロイ戦略、インフラストラクチャの自動化に関する包括的なフレームワークです。

注： disableSkillShellExecution が有効な場合（CC 2.1.91）、Docker のインストール確認は実行されません。コンテナ操作に Docker が利用できることを確認してください：docker --version

概要

• CI/CD パイプラインのセットアップ
• アプリケーションのコンテナ化
• Kubernetes またはクラウドプラットフォームへのデプロイ
• GitOps ワークフローの実装
• Infrastructure as Code の管理
• リリース戦略の計画

パイプラインアーキテクチャ

┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐
│ Code     │─>│ Build    │─>│ Test     │─>│ Deploy   │
│ Commit   │ │ Lint     │ │ Scan     │ │ Release  │
└──────────┘ └──────────┘ └──────────┘ └──────────┘
  triggers     artifacts    reports      monitoring

主な概念

CI/CD パイプラインのステージ

1. Lint と型チェック - コード品質のゲート
2. ユニットテスト - レポート付きのテストカバレッジ
3. セキュリティスキャン - npm audit と Trivy 脆弱性スキャナー
4. ビルドとプッシュ - Docker イメージをコンテナレジストリに送信
5. ステージングにデプロイ - 環境による承認を伴うデプロイ
6. 本番環境にデプロイ - 手動承認または自動実行

コンテナのベストプラクティス

マルチステージビルドでイメージサイズを最小限に抑えます：

• ステージ 1：本番用の依存関係のみをインストール
• ステージ 2：開発用の依存関係を使ってアプリケーションをビルド
• ステージ 3：フットプリントを最小限にした本番ランタイム

セキュリティ強化：

• 非 root ユーザー（uid 1001）
• 可能な場合は読み取り専用のファイルシステム
• オーケストレーターとの連携に必要なヘルスチェック

Kubernetes デプロイメント

必須マニフェスト：

• ローリングアップデート戦略を設定した Deployment
• 内部ルーティング用の Service
• TLS を使用した外部アクセス用の Ingress
• スケーリング用の HorizontalPodAutoscaler

セキュリティコンテキスト：

• runAsNonRoot: true
• allowPrivilegeEscalation: false
• readOnlyRootFilesystem: true
• すべてのケイパビリティを削除

デプロイ戦略

戦略	ユースケース	リスク
ローリング	デフォルト。段階的に置き換え	低 - 自動ロールバック
ブルーグリーン	即時切り替え。簡単にロールバック可能	中 - リソースが 2 倍必要
カナリア	トラフィックを段階的に切り替え	低 - 段階的に公開

ローリングアップデート（Kubernetes のデフォルト）：

strategy:
  type: RollingUpdate
  rollingUpdate:
    maxSurge: 25%
    maxUnavailable: 0  # Zero downtime

シークレット管理

External Secrets Operator を使用してクラウドプロバイダーから同期します：

• AWS Secrets Manager
• HashiCorp Vault
• Azure Key Vault
• GCP Secret Manager

---

参考資料

Docker のパターン

読み込み：Read("references/docker-patterns.md")

主なトピック：

• サイズを 78% 削減するマルチステージビルドの例
• レイヤーキャッシュの最適化
• セキュリティ強化（非 root、ヘルスチェック）
• Trivy 脆弱性スキャン
• Docker Compose を使用した開発環境のセットアップ

OrchestKit Delta（独自ルール）

読み込み：Read("references/ork-delta.md")

主なトピック：

• CI の同時実行グループ、5 分未満のフィードバック予算、パスフィルタリング
• サービスコンテナのヘルスチェックによるゲート、SHA 固定のデプロイ、CDN 無効化の順序
• Kubernetes のプローブ予算、リクエスト／リミットの基準、PodDisruptionBudget の下限
• External Secrets の更新間隔、ArgoCD の prune と selfHeal、Terraform の状態ロック
• 滞留時間を含むアラートしきい値、request-id のログ紐付け、ロールバックのリハーサル

Railway デプロイメント

読み込み：Read("rules/railway-deployment.md")

主なトピック：

• railway.json の設定、Nixpacks ビルド
• 環境変数の管理、データベースのプロビジョニング
• マルチサービス構成、Railway CLI のワークフロー
• 参考資料：references/railway-json-config.md、references/nixpacks-customization.md、references/multi-service-setup.md

デプロイ戦略

読み込み：Read("references/deployment-strategies.md")

主なトピック：

• ローリングデプロイ（maxUnavailable / maxSurge）
• ブルーグリーンデプロイ（サービスセレクターの切り替えとロールバック）
• カナリアリリース（レプリカ比率によるトラフィック分割）

---

上流ドキュメントの対象範囲（重複して記述しない）

このスキルはサードパーティ製品をラップしています。ベンダー固有の仕組みはここでは再掲しません。以下のソースを参照してください。 「独自のサブセットは X に残す」と記載された行では、そのファイルにはベンダーのチュートリアルではなく、OrchestKit のしきい値、設定、または順序の決定事項のみを記載しています。

トピック	参照先
GitHub Actions のワークフロー構文、マトリックスビルド、アーティファクトのアップロード／ダウンロード、キャッシュの仕組み	https://docs.github.com/en/actions/reference/workflows-and-actions/workflow-syntax（独自のキャッシュキーの対象範囲は rules/devops-ci-caching.md に記載）
トリガーフィルター（on.push.paths、スケジュール、workflow_dispatch）	https://docs.github.com/en/actions/how-tos/write-workflows/choose-when-workflows-run/trigger-a-workflow
統合テスト用のサービスコンテナー	https://docs.github.com/en/actions/tutorials/use-containerized-services/use-docker-service-containers
デプロイ環境と承認ゲート	https://docs.github.com/en/actions/how-tos/deploy/configure-and-manage-deployments/manage-environments
保護されたブランチと必須ステータスチェック	https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/about-protected-branches（独自の承認数は rules/devops-branch-protection.md に記載）
Kubernetes のプローブの動作と各プローブフィールド	https://kubernetes.io/docs/tasks/configure-pod-container/configure-liveness-readiness-startup-probes/（独自のプローブ値は references/ork-delta.md に記載）
リクエスト、制限、クォータ、QoS クラス	https://kubernetes.io/docs/concepts/configuration/manage-resources-containers/（独自のベースラインは references/ork-delta.md に記載）
PodDisruptionBudget の動作とエビクション API	https://kubernetes.io/docs/tasks/run-application/configure-pdb/（独自の minAvailable の下限は references/ork-delta.md に記載）
StatefulSet、序数による ID、volumeClaimTemplates	https://kubernetes.io/docs/concepts/workloads/controllers/statefulset/
Helm チャートの作成、テンプレート、values ファイル	https://helm.sh/docs/topics/charts/（使用するチャートディレクトリの構成は references/checklists-and-templates.md に記載）
External Secrets Operator の CRD フィールドとバックエンド	https://external-secrets.io/latest/api/externalsecret/（独自の更新／作成ポリシーは references/ork-delta.md に記載）
ArgoCD の自動同期、プルーニング、自己修復	https://argo-cd.readthedocs.io/en/stable/user-guide/auto_sync/（独自のリトライ／バックオフ設定は references/ork-delta.md に記載）
Terraform の S3 バックエンドと状態ロック	https://developer.hashicorp.com/terraform/language/backend/s3（独自のバックエンド設定は references/ork-delta.md に記載）
Terraform モジュールの構成と変数ファイル	https://developer.hashicorp.com/terraform/language/modules
Alembic のリビジョン、アップグレード、ダウングレードの CLI	https://alembic.sqlalchemy.org/en/latest/tutorial.html（ダウンタイムなしのマイグレーション順序は rules/devops-db-migrations.md に記載）
Prometheus クライアントの計装（Counter、Histogram、公開形式）	https://prometheus.github.io/client_python/
ダッシュボード用の PromQL 関数（rate、histogram_quantile）	https://prometheus.io/docs/prometheus/latest/querying/functions/
Prometheus アラートルールの構文	https://prometheus.io/docs/prometheus/latest/configuration/alerting_rules/（独自のしきい値と継続時間は references/ork-delta.md に記載）
OpenTelemetry による FastAPI の自動計装と手動スパン	https://opentelemetry-python-contrib.readthedocs.io/en/latest/instrumentation/fastapi/fastapi.html
structlog のコンテキストバインディング	https://www.structlog.org/en/stable/contextvars.html（バインド後に呼び出す順序は references/ork-delta.md に記載）
Trivy の重大度フィルタリングとスキャン設定	https://trivy.dev/latest/docs/configuration/filtering/（独自のイメージスキャンの CI 設定は references/docker-patterns.md に、週次スキャンのスケジュールと重大度の下限は references/ork-delta.md に記載）
CloudFront の無効化の動作とコスト	https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/Invalidation.html（同期後に無効化する順序は references/ork-delta.md に記載）
リリース前のセキュリティ、負荷テスト、監視チェックリスト	ork:security-patterns、ork:testing-perf、ork:monitoring-observability（デプロイ当日のチェックリストは references/checklists-and-templates.md に記載）

---

デプロイチェックリストとテンプレート

デプロイ前／中／後のチェックリスト、Helm チャートの構成、テンプレートの参照表については、Read("references/checklists-and-templates.md") を読み込んでください。

---

関連スキル

• ork:security-patterns - CI/CD パイプラインのセキュリティスキャンと強化のパターン
• ork:monitoring-observability - デプロイ済みアプリケーション向けの Prometheus、Grafana、アラート設定
• ork:database-patterns - バックエンドのデプロイにおける Python/Alembic のマイグレーションワークフロー
• portless（上流）- 複数サービスのローカル開発向けの名前付き .localhost URL（portless alias api 8080）

主要な決定事項

決定事項	選択	理由
コンテナユーザー	非 root（uid 1001）	セキュリティのベストプラクティスであり、多くのオーケストレーターで必須です
デプロイ戦略	ローリングアップデート（デフォルト）	ダウンタイムがなく、自動ロールバックに対応し、リソース効率に優れています
シークレット管理	External Secrets Operator	クラウドプロバイダーから同期し、GitOps と互換性があります
ヘルスチェック	起動／ライブネス／レディネスを個別に設定	早すぎるトラフィックの流入を防ぎ、正常なシャットダウンを可能にします

機能の詳細

6 つの機能（ci-cd、docker、kubernetes、infrastructure-as-code、deployment-strategies、observability）全体のキーワードインデックスと課題・解決策の対応表については、Read("references/capability-details.md") を読み込んでください。