Документация / Обновление и откат
Обновление и откат
Для администратораРаз в несколько недель
Обновление идет теми же командами, что и первое развертывание. Платформа сначала считает план перехода и показывает его, и только потом что-то меняет. Если в плане есть шаг, который нельзя отменить, она говорит об этом до начала работы, а не после.
Откуда приходят версии
Новые версии платформа берет из канала обновлений, названного в вашем слое описателя. Канал - это адрес, откуда приезжает описание выпуска и образы. В закрытой сети канала нет, и поставка приносится файлом.
Версия, отозванная поставщиком, для платформы недоступна. Это не рекомендация, а проверка перед началом.
План перехода
Команда плана отвечает на три вопроса до того, как что-то произойдет.
- Через какие версии придется пройти. Если между вашей версией и целевой лежат промежуточные, платформа называет цепочку. Перепрыгнуть ее нельзя.
- Есть ли необратимые шаги. Необратимый шаг - это изменение схемы данных, которое нельзя отменить откатом. План говорит об этом отдельно, потому что это решает, нужна ли свежая резервная копия.
- Нет ли правок в обход описателя. Если кто-то правил собранные файлы руками, обновление не начнется, пока это не будет принято явной командой.
bm-deploy plan \ --base base.yaml --profile-layer profiles/production.yaml \ --config nasha-ustanovka.yaml --manifest release/manifest.yaml
Что написано в плане
План - это один машиночитаемый документ, и обновление без него не работает. Читать его стоит целиком, а не только строку про необратимость.
| Строка плана | Что говорит |
|---|---|
| Текущая и целевая версии | С какой версии на какую переходит платформа |
| Цепочка версий | Через какие промежуточные версии придется пройти |
| Есть ли необратимые шаги | Решает, нужна ли подтвержденная резервная копия |
| Нужна ли копия | Прямое требование, а не совет |
| Смена образов | Какие части платформы меняются и с какого образа на какой |
| Порядок замены | В какой последовательности заменяются сервисы |
| План изменений схемы данных | Какие изменения базы приедут и в какой фазе |
| Предупреждения | То, что не блокирует, но стоит прочитать до начала |
| Патч базовых образов | Признак, что версии частей те же, а образы новые |
| Контрольная сумма | Защита от порчи файла плана, не от подмены |
Патч базовых образов - это самый спокойный случай, и встречается он чаще прочих. Версии частей платформы те же, меняются только образы, изменений схемы данных нет вовсе, и такое обновление откатывается целиком.
Необратимые шаги без подтвержденной копии не исполняются. Это не предупреждение, а отказ. Платформа требует назвать копию, на которую можно вернуться. Проверяет это не файл плана, а само ядро перед применением, и считает необратимость заново по фактическим изменениям схемы, а не по тому, что написано в файле. Подделать план, чтобы проскочить мимо, не получится.
Когда план не считается
План может не посчитаться вовсе, и тогда обновление не начинается. Причин две, и обе называются словами.
- Канал отказал. Целевая версия отозвана поставщиком, либо с вашей версии на нее нельзя перейти напрямую. Во втором случае в отказе назван путь, по которому перейти можно.
- Несовместимы доработки. Если на платформе есть кастомизации, платформа сверяет, чего они требуют и что будет доступно в новой версии. Несовместимость блокирует обновление, и в отказе названы доработка, зависимость, требуемая версия и доступная.
Порядок обновления
- Снять свежую резервную копию
Особенно если план назвал необратимые шаги. Проверка восстановления по расписанию копию перед обновлением не заменяет.
- Посчитать план и прочитать его
Цепочка версий, необратимые шаги, расхождения. Это единственный шаг, где еще ничего не изменено.
- Собрать конфигурацию и проверить готовность
Те же команды, что при развертывании. Место на диске проверяется заново, ведь новая версия может требовать больше.
- Применить обновление
Платформа обновляет сервисы по одному, дожидаясь готовности каждого. Сервис, объявленный в нескольких экземплярах, обновляется без перерыва в работе. Объявленный в одном экземпляре останавливается и поднимается заново, и на это время его работа прервется.
- Проверить, что обновление доехало
На экране обзора версии всех частей обязаны совпасть между собой. На экране миграций не должно остаться непримененных. Расхождение означает незавершенное обновление.
Как идет замена сервисов
Сервисы заменяются по одному, в порядке, названном в плане. Порядок не случаен. Первым меняется сборщик телеметрии, чтобы остальную замену было видно в метриках, а не по факту.
- Сервис в нескольких экземплярах заменяется без перерыва в работе. Экземпляры обновляются по очереди, и хотя бы один продолжает отвечать.
- Сервис в одном экземпляре останавливается и поднимается заново. Перерыв короткий, но он есть, и план говорит об этом заранее.
Платформа дожидается готовности каждого сервиса, прежде чем взяться за следующий. Поэтому обновление идет дольше, чем замена образов, и это осознанно.
Если обновление встало посередине
Обновление не откатывается само. Если шаг упал, платформа останавливается и пишет состояние в журнал операций. Дальше есть два пути.
- Продолжить с места отказа. Повторный запуск той же команды не начинает все сначала, а продолжает с шага, на котором остановились. Уже сделанное не переделывается.
- Вернуться назад. Если продолжать нельзя, смотрите раздел про откат ниже. Если план называл необратимые шаги и они уже применились, возврат идет восстановлением из копии.
Пока обновление не закончено, часть платформы работает на новой версии, а часть на старой. Экран обзора покажет несовпадение версий, и это тот случай, когда оно означает именно незавершенное обновление, а не поломку.
Откат
Откат возвращает прежнюю версию той же командой с указанием цели. Работает он не в каждом случае, и сказать об этом лучше прямо.
- Обратимое обновление откатывается целиком, образы и конфигурация возвращаются к прежнему состоянию.
- Необратимые шаги откатом не отменяются. Если план называл такой шаг, возврат к прежней версии делается восстановлением из резервной копии, а не откатом.
- Правки в обход описателя блокируют и откат тоже, пока не будут приняты явно.
Закрытая сеть
В закрытом профиле обновление идет из файла поставки. Он проверяется до распаковки по подписи, суммам и составу. Недоверенный файл отклоняется, и на сервер из него не попадает ничего. Проверка готовности в этом профиле дополнительно смотрит, лежит ли поставка в вашей сети целиком, потому что докачать недостающее будет неоткуда.