Всякие паблик шелы детектятся сканированием и статик анализаторами, ну а от кастомных защитит команда.

Крос ревью.

а как деплоится из CI/CD pipeline-а?

(: кубы

Правила, правила, правила.

Это все понятно и прекрасно ) такие системы выстраиваются долго и упорно.
Я хочу начать с более простой схемы и ее усложнять по мере потребностей.
Видимо, для деплоя на прод проще всего держать отдельную репу, куда будет иметь доступ только эксплуатация?

а чем тебя простые и тупые protected variables не устраивают щас?

я пока думаю... может и устроят

ознакомился - да, устроят. я немного не так их понял изначально.
спасибо!

Имеется задача, на первый взгляд - простая, но выполнить в GitLab ее не выходит, может я упускаю что-то.
Есть простой пайплайн, с 2 стадиями (для простоты) build и deploy. На стадии build получаем артефакт, в данном случае - архив с приложением. На стадии deploy полученный артефакт надо передать во внешний инструмент для собственно развертывания. Проблема возникла именно с этим.
Внешний инструмент получает данные через API, мне надо передать туда url по которому доступен только что собранный артефакт т.е. это что-то типа https://gitlab.example.com/api/v4/projects/1/jobs/42/artifacts вот только на стадии deploy у меня отсутствует job_id в котором была выполнена сборка, на стадии build. Передавать переменные между стадиями Гитлаб очевидно не умеет, только через файл-артефакт с переменными, но у меня уже место артефакта занято реальным артефактом с результатом сборки, конечно можно туда подсунь еще один файлик с переменными, но не хочется в принципе гонять собранный артефакт между стадиями, т.к. на стадии deploy файл артефакта вообще не нужен.
Есть ли какие-то решения для этого? Деплоить самим Гитлабом не хочется совершенно, т.к. для этого уже имеется другое решение.

Есть идея ходить в API Гитлаба, получать данные пайплайна, среди них находить нужную задачу по имени и извлекать ее job_id. Только вот оказывается нельзя просто так взять и получить данные из API, CI_JOB_TOKEN не дает доступа к API на чтение (только к нескольким отдельным путям). Можно "решить" проблему сохранив в переменных личный токен, но это прямо скажем крайне сомнительное решение, т.к. он дает полный R/W доступ ко всем проектам, к которым есть доступ у пользователя.

мне кажется, тут какая-то солянка. Артефакты передаются ВСЕГДА между джобами

нет, для этого есть
dependencies: []

Ребят. Есть какая нибудь актуальная инфа. Как Gitlab в Openshift загнать?

так же как и не в openshift

Просто в оф доке типа нет поддержки из-за безопасности.
Типа Куберовский мануал подойдет?

должен подойти

а опеншифт это не кубер?

Ну типа, форк, патчи, нюансы))

как можно аккуратно почистить место в registry?