基于GitLab CI/CD与Helm实现Kubernetes容器镜像自动更新

结合你已设置ImagePullPolicy: Always的前提，以下是几种适配GitLab CI/CD + Helm的自动更新方案：

方案一：CI/CD触发Helm升级时指定新镜像Tag #

每次构建新镜像后，直接在GitLab CI/CD流程中调用Helm命令，将新镜像的唯一Tag传递给Helm Chart完成部署更新：

1. 构建并推送镜像到私有仓库（利用GitLab CI内置变量生成唯一Tag）：

   docker build -t your-private-registry/your-app:${CI_COMMIT_SHORT_SHA} .
   docker push your-private-registry/your-app:${CI_COMMIT_SHORT_SHA}
   

2. 执行Helm升级命令，替换镜像Tag：

   helm upgrade your-app-release ./your-helm-chart \
     --set image.tag=${CI_COMMIT_SHORT_SHA} \
     --namespace your-k8s-namespace
   

   由于ImagePullPolicy设为Always，Kubernetes会自动拉取新Tag对应的镜像并重启Pod。

方案二：使用镜像Digest确保更新的确定性 #

如果担心Tag被重复覆盖导致更新异常，可以用镜像的唯一Digest来指定镜像，步骤如下：

1. 构建推送镜像后，获取镜像的Digest：

   docker push your-private-registry/your-app:${CI_COMMIT_SHORT_SHA}
   IMAGE_DIGEST=$(docker inspect --format='{{index .RepoDigests 0}}' your-private-registry/your-app:${CI_COMMIT_SHORT_SHA})
   # 提取@后的Digest部分
   PURE_DIGEST=${IMAGE_DIGEST#*@}
   

2. 通过Helm传递Digest值到Chart：

   helm upgrade your-app-release ./your-helm-chart \
     --set image.digest=${PURE_DIGEST} \
     --namespace your-k8s-namespace
   

   这种方式能保证Kubernetes拉取的是完全匹配的镜像版本，避免Tag复用带来的风险。

方案三：联动Helm Chart模板与CI/CD环境变量 #

在Helm Chart的values.yaml中预留镜像版本的配置项，比如：

image:
  repository: your-private-registry/your-app
  tag: "latest"
  pullPolicy: Always

然后在GitLab CI/CD的部署阶段，直接通过--set参数覆盖默认值，或者用--values指定临时配置文件，实现自动更新。

注意：不建议长期使用latest作为镜像Tag，因为无法追溯具体版本，推荐使用Git提交短哈希、语义化版本号（如v1.2.3）等唯一标识作为Tag。

内容的提问来源于stack exchange，提问作者Vikram