如何创建GitLab Pipeline自动化Azure迁移（集成PowerShell脚本）

一、前置CI/CD变量配置 #

在GitLab项目的「Settings > CI/CD > Variables」中添加以下敏感变量，将AZURE_CLIENT_SECRET设置为「Masked」和「Protected」状态，避免敏感信息泄露：

• AZURE_CLIENT_ID：Azure服务主体的客户端ID
• AZURE_CLIENT_SECRET：Azure服务主体的客户端密钥
• AZURE_TENANT_ID：Azure服务主体的租户ID

二、编写.gitlab-ci.yml配置文件 #

以下是标准化的Pipeline配置，包含认证、迁移执行、结果验证、资源清理四个核心阶段，确保流程可靠可控：

# 定义Pipeline阶段执行顺序
stages:
  - azure_auth
  - run_migration
  - validate_migration
  - cleanup

# 全局镜像配置：使用稳定版Azure CLI镜像（内置PowerShell环境）
image: mcr.microsoft.com/azure-cli:2.59.0

# Azure服务主体认证阶段
azure_auth:
  stage: azure_auth
  script:
    # 通过服务主体完成Azure登录
    - az login --service-principal -u $AZURE_CLIENT_ID -p $AZURE_CLIENT_SECRET --tenant $AZURE_TENANT_ID
    # 验证登录状态，输出当前订阅信息
    - az account show
  retry: 2  # 认证失败自动重试2次
  timeout: 5m  # 设置5分钟超时，避免无响应

# 执行迁移脚本阶段
run_migration:
  stage: run_migration
  needs: [azure_auth]  # 依赖认证阶段成功完成
  script:
    # 切换到项目脚本目录
    - cd $CI_PROJECT_DIR/scripts
    # 执行PowerShell迁移脚本
    - pwsh -File migrate.ps1
  retry: 1
  timeout: 30m  # 迁移流程耗时较长，设置合理超时
  artifacts:
    paths:
      - $CI_PROJECT_DIR/logs/migration-*.log  # 保存迁移日志作为产物
    expire_in: 7d  # 日志自动保留7天

# 迁移结果验证阶段
validate_migration:
  stage: validate_migration
  needs: [run_migration]
  script:
    - cd $CI_PROJECT_DIR/scripts
    - pwsh -File validate-migration.ps1
  timeout: 10m
  allow_failure: false  # 验证失败直接标记Pipeline失败

# 可选：资源清理阶段
cleanup:
  stage: cleanup
  needs: [validate_migration]
  script:
    # 注销Azure登录（容器销毁后自动失效，可选步骤）
    - az logout
    # 清理临时文件（如果有）
    - rm -rf $CI_PROJECT_DIR/temp/*
  when: always  # 无论前面阶段成功/失败都执行
  timeout: 5m

三、PowerShell脚本规范建议 #

1. 日志输出：迁移脚本中添加详细日志，输出到$CI_PROJECT_DIR/logs目录，方便后续问题排查
2. 错误处理：使用try/catch捕获异常，遇到致命错误时主动终止脚本，确保Pipeline能感知失败状态
3. 幂等性设计：迁移脚本需支持重复执行，避免重复创建资源或导致数据冲突

四、可靠性优化要点 #

• 镜像版本锁定：避免使用latest标签，指定具体版本的Azure CLI镜像，保证执行环境一致性
• 重试机制：对认证、迁移等易波动步骤添加重试逻辑，提升Pipeline稳定性
• 超时控制：为每个阶段设置合理超时时间，防止无响应任务占用Runner资源
• 产物留存：保存迁移日志、验证报告等产物，便于事后审计和问题回溯

内容的提问来源于stack exchange，提问作者Mase456