# .gitlab-ci.yml
variables:
  CONTAINER_IMAGE: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA
  CONTAINER_RELEASE: $CI_REGISTRY_IMAGE:latest

stages:
  - build
  - test
  - security
  - publish
  - deploy

before_script:
  - podman version
  - podman login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY

# ビルドステージ - なぜ効率的か
build:
  stage: build
  script:
    # キャッシュ活用で高速化
    - podman build 
        --cache-from $CONTAINER_RELEASE  # 前回のビルドを活用
        --tag $CONTAINER_IMAGE 
        --tag $CONTAINER_RELEASE 
        --file Containerfile .
    - podman push $CONTAINER_IMAGE
  artifacts:
    reports:
      container_scanning: gl-container-scanning-report.json

# テストステージ - 包括的な品質保証
test:unit:
  stage: test
  script:
    - podman run --rm $CONTAINER_IMAGE npm test
  coverage: '/Coverage: \d+\.\d+%/'  # カバレッジ自動取得

test:integration:
  stage: test
  services:
    - name: postgres:13
      alias: db
  variables:
    POSTGRES_DB: test
    POSTGRES_USER: test
    POSTGRES_PASSWORD: test
  script:
    # サービスコンテナとの統合テスト
    - podman run --rm 
        --network host  # CIでのサービス接続
        -e DATABASE_URL=postgresql://test:test@db/test 
        $CONTAINER_IMAGE 
        npm run test:integration

# セキュリティステージ - なぜ必須か
security:scan:
  stage: security
  script:
    # 脆弱性スキャン
    - podman run --rm 
        -v /var/run/podman/podman.sock:/var/run/docker.sock 
        aquasec/trivy image 
        --severity HIGH,CRITICAL 
        --exit-code 1  # 重大な脆弱性で失敗
        $CONTAINER_IMAGE
    # この段階でのブロックにより：
    # - 脆弱なイメージの本番投入を防止
    # - コンプライアンス要件の充足
    # - セキュリティインシデントの予防

security:secrets:
  stage: security
  script:
    # シークレットスキャン
    - podman run --rm 
        -v $(pwd):/src 
        trufflesecurity/trufflehog:latest 
        filesystem /src 
        --json 
        --fail  # シークレット検出で失敗
    # APIキーやパスワードの誤コミットを防止

# パブリッシュステージ - 信頼性の確保
publish:
  stage: publish
  only:
    - main  # mainブランチのみ
  script:
    - podman pull $CONTAINER_IMAGE
    - podman tag $CONTAINER_IMAGE $CONTAINER_RELEASE
    - podman push $CONTAINER_RELEASE
    # 署名付きプッシュ - なぜ重要か
    - podman push --sign-by $GPG_KEY_ID $CONTAINER_RELEASE
    # イメージの改ざん防止
    # 本番環境での信頼性保証

# デプロイステージ - 段階的なロールアウト
deploy:staging:
  stage: deploy
  environment:
    name: staging
    url: https://staging.example.com
  only:
    - main
  script:
    # ステージング環境へのデプロイ
    - |
      podman run --rm 
        -v $SSH_KEY:/root/.ssh/id_rsa:ro 
        -e HOST=$STAGING_HOST 
        alpine/ansible:latest 
        ansible-playbook -i $HOST, deploy.yml

deploy:production:
  stage: deploy
  environment:
    name: production
    url: https://example.com
  when: manual  # 手動承認
  only:
    - main
  script:
    # Blue-Greenデプロイメント
    - kubectl set image deployment/app app=$CONTAINER_RELEASE
    - kubectl rollout status deployment/app
    # 自動ロールバック機能付き

# .github/workflows/ci-cd.yml
name: Build and Deploy

on:
  push:
    branches: [ main, develop ]
  pull_request:
    branches: [ main ]

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: $

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: write
      security-events: write  # セキュリティスキャン結果の書き込み
    
    steps:
      - name: Checkout code
        uses: actions/checkout@v3
      
      - name: Set up Podman
        run: |
          # なぜPodmanを選ぶか：
          # - Dockerデーモン不要（GitHub Actionsでより安全）
          # - Rootless実行可能
          # - 同じDockerfileが使える
          sudo apt-get update
          sudo apt-get -y install podman
          podman version
      
      - name: Log in to Container Registry
        run: |
          # GitHub Container Registry使用の利点：
          # - GitHubとの完全統合
          # - きめ細かいアクセス制御
          # - パッケージとコードの紐付け
          echo "$" | podman login $ -u $ --password-stdin
      
      - name: Build image
        run: |
          # ビルドコンテキストの最適化
          # GitHub Actions特有の環境変数を活用
          podman build . \
            --file Containerfile \
            --tag $:$ \
            --build-arg BUILD_SHA=$ \
            --build-arg BUILD_DATE=$(date -u +%Y-%m-%dT%H:%M:%SZ)
      
      - name: Run tests
        run: |
          # コンテナ内でのテスト実行
          # なぜコンテナ内か：本番と同じ環境を保証
          podman run --rm $:$ npm test
      
      - name: Security scan with Trivy
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: $:$
          format: 'sarif'  # GitHub Security タブ統合
          output: 'trivy-results.sarif'
      
      - name: Upload Trivy scan results
        uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: 'trivy-results.sarif'
        # GitHub Security タブでの可視化
        # プルリクエストへの自動コメント
      
      - name: Push image
        if: github.event_name != 'pull_request'
        run: |
          # プルリクエストではプッシュしない（セキュリティ）
          podman tag $:$ $/$:$
          podman tag $:$ $/$:latest
          podman push $/$:$
          podman push $/$:latest

  deploy:
    needs: build
    runs-on: ubuntu-latest
    if: github.ref == 'refs/heads/main'  # mainブランチのみ
    
    steps:
      - name: Deploy to Kubernetes
        env:
          KUBE_CONFIG: $
        run: |
          # Kubernetesへの安全なデプロイ
          echo "$KUBE_CONFIG" | base64 -d > kubeconfig
          export KUBECONFIG=kubeconfig
          
          # デプロイメントの更新
          kubectl set image deployment/app app=$/$:$
          
          # ロールアウト待機（タイムアウト付き）
          kubectl rollout status deployment/app --timeout=300s

# canary-deployment.yml
apiVersion: v1
kind: Service
metadata:
  name: myapp-canary
spec:
  selector:
    app: myapp
    track: canary
  ports:
    - port: 80
      targetPort: 8080
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp-canary
spec:
  replicas: 1  # 最初は1レプリカのみ
  selector:
    matchLabels:
      app: myapp
      track: canary
  template:
    metadata:
      labels:
        app: myapp
        track: canary
    spec:
      containers:
      - name: app
        image: registry.example.com/myapp:canary
        ports:
        - containerPort: 8080
        # カナリー特有の設定
        env:
        - name: CANARY_DEPLOYMENT
          value: "true"
        - name: METRICS_ENABLED
          value: "true"  # 詳細なメトリクス収集
---
# Nginx設定で重み付けルーティング
apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-config
data:
  upstream.conf: |
    upstream myapp {
        # 90%のトラフィックは安定版へ
        server myapp-stable max_fails=3 fail_timeout=30s weight=9;
        # 10%のトラフィックはカナリー版へ
        server myapp-canary max_fails=3 fail_timeout=30s weight=1;
    }