CI/CD'de Production — nedir, geliştirmede aşamaları ve ortamı

CI/CD'de Production Nedir?

CI/CD bağlamında prodüksiyon, uygulama yaşam döngüsünün son aşamasıdır; derleme ve testin tüm aşamalarını geçen kod son kullanıcılar için kullanılabilir hale gelir. Geliştirme ve staging ortamlarının aksine, prodüksiyon ortamı gerçek veri ve yüklerle çalışır, bu da güvenilirlik ve performans üzerinde özel gereksinimler oluşturur.

Prodüksiyon ortamının rolü

Prodüksiyon ortamı yalnızca bir sunucu değil, yük dengeleyiciler, veritabanları, önbellek katmanları, CDN ve izleme sistemlerini içeren bir altyapı bütünüdür. Her bileşen hataya dayanıklı ve ölçeklenebilir olmalıdır. Mobil geliştirmede, prodüksiyon ayrıca istemci uygulamasını destekleyen backend hizmetlerini, API ağ geçitlerini ve push altyapısını da içerir.

Prodüksiyon ortamı gereksinimleri

Prodüksiyon ortamı katı kriterleri karşılamalıdır: %99,9 ve üzeri kullanılabilirlik, API yanıt süresi 200 ms'yi aşmamalı, felaket kurtarma desteği (SLA dahilinde RTO ve RPO). Mobil uygulamalar için ayrıca çökme raporlama, kullanım analitiği ve deneyler için A/B platformları gerekir. CI/CD pipeline, her dağıtımdan önce otomatik kontrollerle bu gereksinimlere uygunluğu sağlar.

Prodüksiyona Dağıtım Aşamaları

Prodüksiyona dağıtım, CI/CD pipeline aracılığıyla otomatikleştirilmiş çok aşamalı bir süreçtir. Her aşama, hatalı kodun prodüksiyona ulaşmasını önleyen kontroller içerir. Tipik bir mobil uygulama pipeline'ı örneğini kullanarak ana aşamaları inceleyelim.

Prodüksiyon için CI/CD pipeline

Pipeline, deponun ana dalına yapılan bir commit ile başlar. Push'tan sonra otomatik derleme ve birim testler başlatılır, ardından entegrasyon testleri ve kod kalitesi kontrolleri gelir. Tüm aşamaların başarıyla tamamlanmasının ardından yapıt, derleme kaydına yayınlanır ve son doğrulama için staging'e dağıtılır. Staging'de onaylandıktan sonra pipeline, prodüksiyon dağıtımına geçer.

@Library("shared-lib") _

pipeline {
    agent any

    stages {
        stage("Build") {
            steps {
                sh "cd app && ./gradlew assembleRelease"
            }
        }
        stage("Test") {
            steps {
                sh "cd app && ./gradlew testRelease"
            }
        }
        stage("Deploy to Staging") {
            steps {
                sh "deploy-staging.sh"
            }
        }
        stage("Deploy to Production") {
            input "Deploy to production?"
            steps {
                sh "deploy-production.sh"
            }
        }
    }
}

Dağıtım otomasyonu

Prodüksiyona otomatik dağıtım, sıfır kesinti dağıtım stratejilerini kullanır: rolling update, blue-green deployment veya canary release. Rolling update'te, yeni uygulama örnekleri hizmeti durdurmadan eski örneklerin yerini kademeli olarak alır. Blue-green deployment, iki özdeş ortamı korur ve trafiği anında değiştirerek sorun durumunda hızlı geri alma sağlar. Strateji seçimi, hizmetin kritikliğine ve kabul edilebilir kesinti süresine bağlıdır. Mobil uygulamalar için prodüksiyona dağıtım, aşamalı kullanıma sunma ile uygulama mağazalarında (App Store Connect, Google Play Console) yayınlamayı içerir ve bu, ikili dosyaları yükleme, meta verileri doldurma ve incelemeye gönderme dahil olmak üzere yayınlama sürecini otomatikleştirmek için mağaza API'leriyle ek CI/CD entegrasyonu gerektirir.

Dağıtım sonrası kontroller

Prodüksiyona başarılı dağıtımın ardından CI/CD pipeline, temel hizmet işlevselliğini doğrulayan bir dizi duman testi başlatır: uç nokta kullanılabilirliği, API yanıtlarının doğruluğu, normal sınırlar içinde yanıt süresi. Mobil uygulamalar için ayrıca yetkilendirme kapasitesi, veri senkronizasyonu ve ödeme entegrasyonlarının doğru çalışması kontrol edilir. Duman testleri başarısız olursa, pipeline otomatik olarak önceki kararlı sürüme geri alma başlatır ve ekibe bir bildirim gönderir. Dağıtım sonrası izleme, yükseltilmiş uyarı seviyesiyle 30-60 dakika devam eder — bu, otomatik testler tarafından kapsanmayan sorunları tespit etme penceresidir.

Prodüksiyon ve Test Ortamları Arasındaki Farklar

Prodüksiyon ve daha az katı ortamlar arasındaki temel fark, gerçek kullanıcı verileri ve yükleriyle çalışmaktır. Staging ortamı, yayın öncesi son testler için tasarlanmıştır ancak sentetik veya anonimleştirilmiş veriler kullanır. Prodüksiyon ise canlı işlemleri, kişisel verileri ve kritik derecede önemli operasyonları işler ve bu da yönetimde temelde farklı bir yaklaşım gerektirir.

Yapılandırma ve altyapı

Prodüksiyon ortamı yapılandırması diğer ortamlardan kesinlikle izole edilmelidir. Bu, ortam değişkenleri, veritabanı bağlantı dizeleri, API anahtarları ve sertifikalar için geçerlidir. Prodüksiyon altyapısı, hata toleransını sağlamak için genellikle birden çok kullanılabilirlik bölgesinde çoğaltılır. Mobil uygulamalar için prodüksiyon, test yapılarında bulunmayan Apple App Store ve Google Play yapılandırmalarını da içerir.

Veri yönetimi

Prodüksiyonda, test için gerçek veri kullanmak kesinlikle yasaktır — bu amaçla staging ve geliştirme ortamları vardır. Veritabanı yapısındaki tüm değişiklikler, CI/CD pipeline'ının otomatik olarak uyguladığı geçişlerden geçmelidir. Prodüksiyon verisi yedeklemesi, otomatik bütünlük doğrulaması ile bir programa göre gerçekleştirilir. Saklama politikası, GDPR gereksinimleri ve diğer düzenlemelere uygun olarak yedeklerin depolama süresini belirler.

Prodüksiyon Altyapısını İzleme

Prodüksiyon izleme, metriklerin, günlüklerin ve izlerin toplanması ve analiz edilmesinin sürekli bir sürecidir. Kapsamlı izleme olmadan, SLA'yı garanti etmek ve olayları zamanında tespit etmek imkansızdır. Modern izleme yaklaşımı üç temele dayanır: metrikler (sayısal göstergeler), günlükler (yapılandırılmış olay kayıtları) ve izler (istek izleme).

Temel metrikler

Prodüksiyon ortamının temel metrikleri şunları içerir: çalışma süresi (hizmet kullanılabilirliği), gecikme (yanıt gecikmesi), hata oranı (hata yüzdesi), iş hacmi (bant genişliği) ve doygunluk (kaynak yük seviyesi). Mobil uygulamalar için başlangıç süresi metrikleri, çökmesiz oran ve veri senkronizasyon süresi kritiktir. Uyarılar, ekip SLA ihlal edilmeden önce bildirim alacak şekilde SLO'ya (Hizmet Seviyesi Hedefleri) göre yapılandırılır.

İzleme araçları

Prodüksiyon altyapısını izlemek için özel platformlar kullanılır: metrik toplama için Datadog, New Relic, Grafana + Prometheus, mobil uygulamalardaki hataları izlemek için Sentry ve Crashlytics. Günlükler, ELK yığını (Elasticsearch, Logstash, Kibana) veya Splunk aracılığıyla merkezileştirilir. İstek izleme, Jaeger veya Zipkin kullanılarak uygulanır. Tüm araçlar, yeni bir hizmet dağıtılırken otomatik pano oluşturma için CI/CD pipeline ile entegre edilir. Olay yanıt sistemi (PagerDuty, Opsgenie), tüm izleme araçlarından uyarıları alır ve dönüşüm ve yükseltme kurallarına göre otomatik olarak nöbetçi sorumlu kişiyi atar. Her olay türü için bir runbook, depoda saklanır ve kodla birlikte sürümlenir ve kurtarma talimatlarının güncelliğini sağlar.

Prodüksiyon Ortamı Güvenliği

Prodüksiyon ortamı güvenliği, altyapıyı, verileri, erişimi ve dağıtım sürecini kapsayan çok katmanlı bir koruma sistemidir. Her katman, birinin ele geçirilmesinin tüm sistemin ele geçirilmesine yol açmayacağı şekilde yapılandırılmalıdır. CI/CD pipeline, her pipeline aşamasında otomatik kontroller, güvenlik açığı taraması ve uyumluluk kontrolü yoluyla güvenliğin sağlanmasında anahtar rol oynar.

Erişim ve roller

Prodüksiyon ortamına erişim, en az ayrıcalık ilkesiyle sıkı bir şekilde sınırlandırılmıştır. Geliştiricilerin prodüksiyon sunucularına doğrudan erişimi yoktur — tüm değişiklikler bir onay mekanizmasıyla CI/CD pipeline üzerinden geçer. Acil erişim için, otomatik dönüşüm ve tam eylem günlüğü ile geçici kimlik bilgileri kullanılır. Dört göz ilkesi (herhangi bir işlem iki kişinin onayını gerektirir) prodüksiyon operasyonları için standarttır.

Değişiklik denetimi

Prodüksiyondaki her değişiklik denetim sisteminde kaydedilir: dağıtımı kim başlattı, hangi commit dağıtıldı, hangi kontroller geçildi, dağıtım ne kadar sürdü. CI/CD'nin olay yönetim sistemleriyle (PagerDuty, Opsgenie) entegrasyonu, dağıtım başarısız olduğunda veya SLO ihlal edildiğinde otomatik bilet oluşturulmasını sağlar. Tüm prodüksiyon günlükleri, SOC2 ve ISO 27001 gereksinimlerine uygun olarak en az 90 gün saklama süresiyle değişmez bir depoda saklanır.