Belajar GitOps - FluxCD - Image Automation

#Pendahuluan

Di episode 12 kalian sudah belajar multi-tenancy: cara memisahkan beberapa tim dalam satu cluster dengan RBAC per tenant, quota, dan lockdown mode. Struktur dan isolasi itu akan berguna sekarang, karena episode 13 membahas sesuatu yang berjalan lintas environment: image automation.

Image automation adalah kemampuan FluxCD untuk memantau container registry, mendeteksi image baru, mengevaluasi versi yang sesuai dengan kebijakan, lalu memperbarui manifest di Git secara otomatis. Seluruh alurnya tetap 100% GitOps — perubahan selalu berakhir di Git sebagai single source of truth, hanya saja tidak harus dilakukan manual oleh manusia.

#Komponen Image Automation

Image automation di FluxCD dibangun dari tiga CustomResourceDefinition (CRD) yang saling bekerja sama:

#ImageRepository

ImageRepository bertugas memindai container registry secara berkala dan menyimpan daftar tag yang ditemukan. Komponen ini dijalankan oleh image-reflector-controller.

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImageRepository
metadata:
  name: podinfo
  namespace: flux-system
spec:
  image: ghcr.io/stefanprodan/podinfo
  interval: 10m

#Registry Authentication

Untuk registry privat, buat Secret berisi kredensial lalu referensikan lewat secretRef:

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImageRepository
metadata:
  name: private-app
  namespace: flux-system
spec:
  image: registry.example.com/private-app
  interval: 5m
  secretRef:
    name: registry-credentials

kubectl create secret docker-registry registry-credentials \
  --namespace=flux-system \
  --docker-server=registry.example.com \
  --docker-username=ci \
  --docker-password=xxxxx

#Interval dan Filtering

Field interval menentukan seberapa sering registry dipindai. Hindari interval terlalu pendek, misalnya satu menit, untuk registry besar karena akan membebani registry dan controller. Untuk membatasi tag yang dipantau, gunakan filterTags dengan pola regex dan opsional extract:

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImageRepository
metadata:
  name: app
  namespace: flux-system
spec:
  image: ghcr.io/acme/app
  interval: 10m
  filterTags:
    pattern: "^v?[0-9]+\\.[0-9]+\\.[0-9]+$"
    extract: "$1"

#ImagePolicy

ImagePolicy menentukan kebijakan pemilihan versi dari tag yang ditemukan ImageRepository.

#Semver Policy

Kebijakan paling umum, memakai semantic versioning:

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImagePolicy
metadata:
  name: podinfo
  namespace: flux-system
spec:
  imageRepositoryRef:
    name: podinfo
  policy:
    semver:
      range: ">=1.0.0 <2.0.0"

Dengan range tersebut, ImagePolicy memilih tag versi tertinggi yang memenuhi rentang. Operator yang didukung meliputi >=, >, <, <=, =, serta wildcard x dan *.

#Alphabetical Policy

Membandingkan tag secara leksikografis. Berguna untuk tag yang bukan versi semver:

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImagePolicy
metadata:
  name: app
  namespace: flux-system
spec:
  imageRepositoryRef:
    name: app
  policy:
    alphabetical:
      order: asc

#Numerical Policy

Membandingkan tag sebagai angka, sehingga urutan numerik dihormati:

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImagePolicy
metadata:
  name: app
  namespace: flux-system
spec:
  imageRepositoryRef:
    name: app
  policy:
    numerical:
      order: asc

#Perbandingan Policy

#ImageUpdateAutomation

ImageUpdateAutomation adalah mesin yang menulis pembaruan kembali ke Git. Komponen ini dijalankan oleh image-automation-controller.

apiVersion: image.toolkit.fluxcd.io/v1beta2
kind: ImageUpdateAutomation
metadata:
  name: flux-system
  namespace: flux-system
spec:
  interval: 10m
  sourceRef:
    kind: GitRepository
    name: flux-system
  git:
    checkout:
      ref:
        branch: main
    commit:
      author:
        email: fluxcdbot@users.noreply.github.com
        name: fluxcdbot
      messageTemplate: |
        [ci skip] update image version
    push:
      branch: main

#Commit Message Template

Field messageTemplate menentukan isi pesan commit. Template mendukung beberapa variabel bawaan, misalnya nama image dan versi baru. Awalan [ci skip] pada contoh di atas mencegah pipeline CI berulang memicu dirinya sendiri.

#Branch Strategy

Secara default pembaruan ditulis ke branch yang sama dengan checkout. Untuk strategi pull request, misalnya update ke branch fitur lalu PR ke main, set checkout.ref dan push.branch ke branch yang berbeda sehingga perubahan bisa direview manusia dulu.

#Author Configuration

Selalu set author yang jelas, misalnya akun bot. Ini memudahkan audit: riwayat commit akan menunjukkan bahwa perubahan dilakukan oleh bot image automation, bukan manusia.

#Alur Kerja End-to-End

Mari kita satukan seluruh komponen dengan alur nyata:

1. CI pipeline membangun image baru dan meng-push ke registry dengan tag versi baru
2. ImageRepository mendeteksi tag baru pada interval berikutnya
3. ImagePolicy mengevaluasi tag mana yang memenuhi kebijakan semver
4. ImageUpdateAutomation memperbarui field image di manifest Git dan membuat commit
5. Flux menyinkronkan perubahan dari Git ke cluster

Agar ImageUpdateAutomation tahu image mana yang harus diperbarui, Kustomization harus memiliki blok images:

apiVersion: kustomize.toolkit.fluxcd.io/v1
kind: Kustomization
metadata:
  name: apps
  namespace: flux-system
spec:
  interval: 10m
  path: ./apps
  prune: true
  sourceRef:
    kind: GitRepository
    name: flux-system
  images:
    - name: ghcr.io/stefanprodan/podinfo
      newName: ghcr.io/stefanprodan/podinfo

Saat ImagePolicy menghasilkan versi baru, ImageUpdateAutomation menulis versi tersebut ke newTag atau newName pada Kustomization, lalu commit ke Git. Verifikasi komponen yang berjalan:

flux get images repository
flux get images policy
flux get images update

#Use Cases

#Penutup

Episode 13 ini menutup pembahasan tentang bagaimana FluxCD mengotomasi pembaruan image dari registry hingga Git.

Inti yang harus dibawa pulang:

• Tiga komponen: ImageRepository memindai, ImagePolicy menilai, ImageUpdateAutomation menulis ke Git.
• Pilih policy sesuai penamaan tag: semver untuk rilis semantik, numerical atau alphabetical untuk tag lain.
• filterTags di ImageRepository mempersempit tag yang dipertimbangkan.
• Commit bot dan branch terpisah menjaga riwayat Git tetap rapi dan aman.
• Gunakan PR untuk production agar manusia tetap memegang kendali terakhir.

Di episode 14 berikutnya kita akan membahas Notifications & Alerts — bagaimana FluxCD mengirim notifikasi ke Slack, Discord, atau webhook kustom setiap kali ada event, dan bagaimana Alert CRD memfilter event agar tidak membanjiri tim. Sampai jumpa!