풀스택 개발자를 위한 CI/CD 11강 — 폐쇄망 환경의 CI/CD

[외부망] 소스 → CI → 이미지 빌드 → 이미지 tar + 배포 번들
                                          │ 반입 절차
[내부망]                                  ▼
                      내부 레지스트리 → 운영 서버 배포

[외부망] 의존성 수집 (베이스 이미지, npm 패키지, OS 패키지, 도구)
                          │ 주기적 반입
[내부망]                  ▼
  내부 Git → 내부 CI → 내부 미러(npm, 이미지) 사용해 빌드 → 내부 레지스트리 → 배포

# ===== 외부망 =====
# 운영 서버 아키텍처를 명시해서 받음
docker pull --platform linux/amd64 node:22-alpine
docker save node:22-alpine | gzip > node-22-alpine.tar.gz
sha256sum node-22-alpine.tar.gz > node-22-alpine.tar.gz.sha256
 
# ===== 내부망 =====
sha256sum -c node-22-alpine.tar.gz.sha256       # 무결성 확인
docker load -i node-22-alpine.tar.gz
docker tag node:22-alpine harbor.internal/base/node:22-alpine
docker push harbor.internal/base/node:22-alpine

#!/usr/bin/env bash
# collect-images.sh (외부망)
set -euo pipefail
PLATFORM=linux/amd64
OUT=images-$(date +%Y%m%d)
mkdir -p "$OUT"
 
while read -r img; do
  [[ -z "$img" || "$img" == \#* ]] && continue
  docker pull --platform "$PLATFORM" "$img"
done < images.txt
 
grep -vE '^\s*(#|$)' images.txt | xargs docker save | gzip > "$OUT/images.tar.gz"
cp images.txt "$OUT/"
(cd "$OUT" && sha256sum images.tar.gz > SHA256SUMS)

# images.txt
node:22-alpine
postgres:16
nginx:1.27-alpine
goharbor/harbor-core:v2.x.x    # 실제 버전으로 고정

skopeo copy --override-arch amd64 \
  docker://docker.io/library/node:22-alpine \
  oci-archive:node-22-alpine.tar

# .npmrc (저장소에 커밋)
registry=https://nexus.internal/repository/npm-group/
strict-ssl=true
cafile=/etc/ssl/certs/internal-ca.pem

# 외부망: lockfile 기준으로 모든 패키지 tarball을 캐시에 채움
npm ci --cache ./npm-cache --prefer-online
tar czf npm-cache.tar.gz npm-cache

tar xzf npm-cache.tar.gz
npm ci --cache ./npm-cache --offline

# syntax=docker/dockerfile:1
ARG REGISTRY=docker.io/library
 
FROM ${REGISTRY}/node:22-alpine AS deps
WORKDIR /app
ARG NPM_REGISTRY=https://registry.npmjs.org/
COPY package.json package-lock.json ./
COPY certs/internal-ca.pem /usr/local/share/ca-certificates/internal-ca.crt
ENV NODE_EXTRA_CA_CERTS=/usr/local/share/ca-certificates/internal-ca.crt
RUN npm config set registry "$NPM_REGISTRY" && npm ci
 
FROM ${REGISTRY}/node:22-alpine AS builder
# ... 5강과 동일
 
FROM ${REGISTRY}/node:22-alpine AS runner
# ... 5강과 동일

docker build \
  --build-arg REGISTRY=harbor.internal/base \
  --build-arg NPM_REGISTRY=https://nexus.internal/repository/npm-group/ \
  -t harbor.internal/s-app/web:$SHA .

# .gitlab-ci.yml
stages: [verify, build, deploy]
 
variables:
  REGISTRY: harbor.internal
  IMAGE: $REGISTRY/s-app/web
  NPM_REGISTRY: https://nexus.internal/repository/npm-group/
 
default:
  image: $REGISTRY/base/node:22-alpine
 
verify:
  stage: verify
  cache:
    key:
      files: [package-lock.json]
    paths: [.npm/]
  script:
    - npm config set registry "$NPM_REGISTRY"
    - npm ci --cache .npm --prefer-offline
    - npm run lint
    - npm run typecheck
    - npm test
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
    - if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH
 
build-image:
  stage: build
  tags: [docker-builder]        # Docker가 설치된 shell executor Runner
  script:
    - echo "$HARBOR_PASSWORD" | docker login "$REGISTRY" -u "$HARBOR_USER" --password-stdin
    - >
      docker build
      --build-arg REGISTRY=$REGISTRY/base
      --build-arg NPM_REGISTRY=$NPM_REGISTRY
      -t $IMAGE:$CI_COMMIT_SHA .
    - docker push $IMAGE:$CI_COMMIT_SHA
  rules:
    - if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH
 
deploy-production:
  stage: deploy
  tags: [deployer]
  environment:
    name: production
  when: manual                   # 수동 승인 (Continuous Delivery)
  resource_group: production     # 동시 배포 방지 (Actions의 concurrency)
  script:
    - ssh deploy@app-server-01 "/srv/app/deploy.sh $CI_COMMIT_SHA"
  rules:
    - if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH

release-2026.09.17-3f2a9c1/
├── MANIFEST.txt            # 버전, 커밋, 빌드 일시, 포함 이미지 목록
├── SHA256SUMS              # 모든 파일의 체크섬
├── images.tar.gz           # 앱 이미지 (+ 바뀐 인프라 이미지)
├── compose.yaml
├── migrations/             # 이번 릴리스의 DB 마이그레이션
├── deploy.sh               # load → tag → push → migrate → up → healthcheck
├── rollback.sh
└── RUNBOOK.md              # 절차, 확인 항목, 장애 시 연락처

#!/usr/bin/env bash
# deploy.sh (번들 내부)
set -euo pipefail
cd "$(dirname "$0")"
 
echo "==> 무결성 확인"
sha256sum -c SHA256SUMS
 
echo "==> 이미지 적재"
docker load -i images.tar.gz
 
source MANIFEST.txt        # APP_TAG 등 정의
echo "==> 마이그레이션"
docker compose run --rm migrate
 
echo "==> 교체"
IMAGE_TAG="$APP_TAG" docker compose up -d --wait app
 
echo "==> 확인"
curl -fsS http://127.0.0.1:3000/api/health | grep -q "$APP_TAG"
echo "$(date -Iseconds) $APP_TAG" >> /srv/app/releases.log

# 외부망
trivy image --download-db-only --cache-dir ./trivy-cache
tar czf trivy-db.tar.gz trivy-cache
 
# 내부망
tar xzf trivy-db.tar.gz
trivy image --cache-dir ./trivy-cache --skip-db-update --offline-scan \
  harbor.internal/s-app/web:$SHA