OpenShift通过Jenkins部署MySQL版Spring Boot微服务最佳实践咨询

本地Docker环境能正常运行不代表可以直接在OpenShift上部署，现有容器化方案基本都需要做适配调整，核心原因是OpenShift有默认的安全约束、服务发现规则、运行时权限限制，和本地裸Docker运行环境差异很大，不需要改业务代码，只需要调整镜像选型和部署配置即可。

不要直接用本地调试用的openjdk、alpine-jdk类镜像，按优先级选：

• 首选Red Hat官方认证的OpenShift原生兼容镜像，默认适配所有平台安全规则，不需要额外改权限：
  • Spring Boot 3.x版本选registry.redhat.io/openjdk/openjdk-17-rhel8，内置RHEL系统安全补丁，支持cgroup v2内存限制识别
  • Spring Boot 2.7.x及以下稳定版本选registry.redhat.io/openjdk/openjdk-11-rhel8，是生产环境验证最充分的版本
• 无Red Hat镜像仓库访问权限时，选Eclipse Temurin系列JRE镜像：JDK17对应eclipse-temurin:17-jre-focal，JDK11对应eclipse-temurin:11-jre-focal，构建镜像时必须在Dockerfile中添加权限适配命令：

# 适配OpenShift随机UID运行规则
RUN chgrp -R 0 /你的应用部署目录 && chmod -R g=u /你的应用部署目录

禁止使用alpine版本的JDK镜像，OpenShift默认开启的SELinux策略会和alpine的musl libc产生兼容问题，随机出现进程崩溃、数据库连接超时等无明确报错的问题。

• 数据库连接配置适配：不要写本地测试用的127.0.0.1、局域网固定IP。如果对接的是OpenShift集群内通过Service暴露的MySQL，连接地址直接写内部服务域名：jdbc:mysql://<mysql服务名>.<所在命名空间>.svc.cluster.local:3306/<库名>；如果对接集群外MySQL，先确认集群到MySQL地址的网络策略、防火墙放通，不要直接在应用配置里硬写公网IP。
• JVM启动参数适配：容器内运行的Spring Boot必须开启cgroup内存感知，启动参数添加-XX:MaxRAMPercentage=75.0，让JVM自动识别容器内存上限，避免JVM堆内存超过容器Limit被平台强制杀死。
• Jenkins流水线配置适配：
  • 优先通过OpenShift插件调用oc命令触发平台原生BuildConfig构建镜像，不要直接在Jenkins节点用docker build打镜像推外部仓库，避免出现镜像拉取权限、镜像层不兼容问题
  • 部署配置中不要固定写死runAsUser字段，删除securityContext下的固定UID配置，让OpenShift自动分配运行UID，否则会因为权限不足启动失败
  • 数据库账号密码等敏感信息不要硬编码在配置文件中，通过OpenShift Secret注入为容器环境变量，Spring Boot会自动识别SPRING_DATASOURCE_USERNAME、SPRING_DATASOURCE_PASSWORD这类标准化环境变量覆盖配置文件值
• 探针配置适配：如果开启了Spring Boot Actuator，存活、就绪检查路径直接配/actuator/health；如果没引入Actuator，要单独提供一个返回200状态码的接口作为探针路径，探针配置错误会导致平台反复重启Pod，看起来像服务启动失败。

• 部署失败先执行oc describe pod <故障Pod名>看事件输出，优先排查镜像拉取失败、权限不足、探针失败这三类高频问题，不要第一时间去翻业务日志
• 出现数据库连接报错时，先在同命名空间启动临时客户端Pod测连通性：oc run -it --rm mysql-debug --image=registry.redhat.io/rhel8/mysql:8.0 -- mysql -h <MySQL地址> -u<用户名> -p，确认网络连通、账号权限正常后再查应用配置
• 本地镜像可以先通过oc new-app命令直接部署测试，排除Jenkins流水线配置问题后再对接流水线，缩小排查范围。

如果排查过程中拿到具体的Pod事件日志、启动报错日志，可以补充对应信息进一步定位问题。

内容的提问来源于stack exchange，提问作者vkulumba