城商行DevOps持续交付场景下制品库设计及选型.docx

城商行DevOps持续交付场景下制品库的设计及选型科技是第一生产力，科技金融需要靠科技来驱动，传统金融在互联网经济下，受到了支付宝、微信等较大的冲击，必须做出改变，迅速响应市场。怎么更快的感知市场并迅速交付新产品到客户手里？金融银行业需要做DevOps，应对互联网的发展要求。而在做DevOps建设必须要考虑制品库设计，制品库设计在DevOps持续交付的重要性体现在以下几个方面：1、一般金融企业的系统都是购买的各个第三方软件公司，这样带来的问题是开发语言复杂，技术架构种类繁多，而DevOps中的核心概念是流水线，流水线上的组件种类越多，伴随的运维，管理，开发的难度就越大；所以一个能支持全语言类型的制品仓库就显得比较重要。2、监管要求金融企业的开发测试环境和生产环境是物理强隔离，所以在投产时，会有一个制品从开发环境搬运到生产环境的动作，那么仓库还需要有制品同步的能力。3、同时制品仓库本身还需要具备高可用的能力。4、DevOps里还有个比较重要的概念是质量门禁，这里需要制品库中的制品具备自定义元数据的能力。社区近日举办了线上同行交流，邀请到民生银行、中原银行、上海银行、乐山银行、山西银行、江苏银行、吉林银行、重庆三峡银行、浙江泰隆商业银行、自贡银行、贵州银行等多家金融同行和杰蛙制品库专家一同参与交流分享。探讨重点围绕三部分，本文对三部分分享内容进行了整理，欢迎阅读，希望给金融同行们在DevOps与制品库（商用、开源）选型上以及设计上提供一定的参考和帮助。1、DevOps与制品库（商用、开源）产品选型建议2、制品库的设计如何保证高可用及安全性3、DevOps与制品库设计上难点问题一、DevOps与制品库（商用、开源）产品选型建议探讨1、企业制品库选型建议？【问题描述】各位专家好，我们公司基于开源的相关软件产品和组件构建了一套自己的DevOps基础性的平台，但是目前在制品库管理和安全检查组件的选型上遇到了一些问题，迟迟没定定下合适的方案。所以想和各位专家请教一下，目前市面上都有哪些开源类的制品库方案？不知道是否有专家在这方面有过最佳实践的经验，如果方便的话，能否分享一下？@lchqq中原银行DevOps工程师：制品库主要功能是依赖管理与制品管理2方面。目前开源与商业制品库可供选择的并不多。商业的JfrogArtifactory比较成熟，安全扫描功能也有，码云也有制品库的功能。开源的制品库基本上就是Nexus了，中小企业使用基本够用，但安全扫描需要自己实现。@wp28556259CMBC软件架构设计师：我们用的是artifactory，全语言管理依赖，支持镜像仓库，配套有xray实现安全扫描.@liwei1567JFrog解决方案架构师：小型企业，可以选择Nexus、Harbor等开源产品，能实现最简单的制品管理功能.对于中大型企业，研发规模超过200人，并且对制品库稳定性、制品合规性、安全管理、制品分发等功能均有需求的场景下，建议采用商业解决方案JFrogArtifatory,对于不同行业，JFrog有相应的最佳实践方案.2、制品库软件如何选型，Jfrog和Nexus的区别？@wp28556259CMBC软件架构设计师：从核心功能上，Nexus跟JFrog相比来说支持语言较少。其他方面，JFrog相对生态更丰富一点，比如安全扫描，多地复制。个人觉得如果团队技术能力强，人力充足，那么选择开源方案也是可以的，毕竟自主可控是需要的。@liwei1567JFrog解决方案架构师：看客户场景。对于金融企业，对于制品库的高可用性和维护性，制品的合规引入、安全管控、开源许可管控、多环境同步等都是有严格的监管要求的。在监管要求的基础上，开源的Nexus和Harbor等工具就很难满足金融企业业务场景要求。Nexus与JFrog主要在下述几个方面的区别：1，JFrog原生高可用集群、Nexus为单点。JFrog稳定性及维护性更好。2，JFrog具备开源组件的安全扫描及许可证扫描能力。JFrog提高开源治理能力。3，JFrog与DevOps工具链或平台对接能力强，全功能api、命令行、插件功能，方便二次开发，国内原厂支持4，JFrog多环境自动同步能力，可以基于checksum完成一致性校验，匹配监管需求@lchqq中原银行DevOps工程师：开源制品库功能还是弱了很多，网上也有不少的对比。商用的JFrog比较成熟，码云等代码库也有类似的功能，但距离JFrog还有一定差距。3、当下提供DevOps厂商比较多？城商行在DevOps选型上主要应该从那方面的考虑和建议？@lchqq中原银行DevOps工程师：我觉得主要应当考虑如何落地与后期维护的问题。每个行的具体技术能力与管理流程都不尽相同，与互联网行业更是有很大的差别。有些DevOps产品看起来功能完善而强大，