如何自动化Docker pull、commit操作并更新Kubernetes部署镜像

首先建议你先替换当前docker commit的打包方式：手动进入容器修改配置再提交的模式生成的镜像没有可复现性，变更无法溯源，是整个流程自动化的最大阻碍。你可以把修改配置的操作固化为Dockerfile步骤：

• 以Docker Hub的上游镜像作为基础镜像，开头写FROM 上游镜像地址:标签
• 用COPY指令把你要替换的配置文件复制到镜像对应路径，或者用RUN指令执行你需要的配置修改命令
• 所有修改步骤写死在Dockerfile后，每次构建都能得到完全一致的自定义镜像，不需要人工介入容器操作

之后整个自动化流程可以按如下步骤搭建：

1. 触发条件配置：可以设置每周定时触发，或者配置上游镜像检测逻辑，一旦上游镜像的 digest 发生变化（也就是有更新）就自动触发后续流程，不需要等到固定时间点
2. 自动构建：按你写好的Dockerfile构建自定义镜像，给镜像打唯一的可追溯标签，比如你的私有仓库地址/镜像名:构建时间-上游镜像版本号，避免标签覆盖导致的版本混乱
3. 自动推送：构建完成后自动把镜像推送到你自己的私有镜像仓库
4. 自动部署更新：镜像推送完成后，直接调用Kubernetes API更新对应Deployment的镜像字段，可以用kubectl set image deployment/[部署名] [容器名]=[新镜像标签]直接更新，也可以用Kustomize、Helm等配置管理工具更新YAML后再 apply 到集群，完全不需要手动修改YAML文件

完全可以在Kubernetes集群内部实现整个流程的自动化，不需要依赖外部CI/CD服务：

• 你可以用Kubernetes原生的CronJob资源配置每周定时执行的任务，和上游镜像的更新频率对齐。CronJob运行的Pod建议使用Kaniko这类无Docker daemon的镜像构建工具，不需要挂载宿主机的docker.sock，安全性更高
• CronJob的执行逻辑按顺序配置为：拉取最新上游镜像、按Dockerfile构建自定义镜像、推送镜像到私有仓库、调用Kubernetes API更新对应Deployment的镜像
• 如果需要更实时的更新，不用等每周定时触发，可以额外部署一个轻量的轮询任务，定期查询上游镜像的digest，一旦检测到digest变更就立即触发一次性的Job执行构建更新流程，不用等到固定的周度时间点
• 权限配置上，给执行任务的ServiceAccount配置最小可用权限，仅允许更新指定Namespace下的Deployment资源，避免权限过大带来的安全风险

如果你的配置变更存在环境差异，也可以考虑把可变配置抽离为ConfigMap或者Secret挂载到Pod中，这类配置变更不需要重新构建镜像，直接更新ConfigMap即可生效。

内容的提问来源于stack exchange，提问作者user2201789