DEV Community
·
在GitHub Actions中执行eBPF
内容提要
Keploy希望将其工具集成到GitHub流水线中，以确保拉取请求的安全合并和部署。由于Keploy使用eBPF跟踪网络调用，需要sudo权限，因此面临在GitHub上获取此权限的问题。eBPF可以监控系统调用和网络活动，自动生成测试用例。GitHub的runner提供的有限sudo权限足以支持Keploy的功能。
关键要点
-
Keploy希望将其工具集成到GitHub流水线中，以确保拉取请求的安全合并和部署。
-
Keploy使用eBPF跟踪网络调用，需要sudo权限，这在GitHub上面临挑战。
-
eBPF可以监控系统调用和网络活动，自动生成测试用例。
-
GitHub的runner提供的有限sudo权限足以支持Keploy的功能。
-
典型的合并周期包括创建PR、运行工作流和合并。
-
工作流是通过YAML文件定义的自动化过程，响应仓库中的事件。
-
eBPF允许安全、高效地跟踪和监控内核和用户空间进程。
-
Keploy计划在每次向主分支发送拉取请求时运行eBPF。
-
GitHub托管的runner不允许编辑或配置cgroups，但可以使用eBPF钩子捕获网络活动。
-
GitHub和Gitlab允许在runner上附加kprobes钩子，而Bitbucket则不允许。
-
GitHub runner提供类似root的权限，适合运行基于eBPF的工具。
-
eBPF可以在GitHub Actions中运行，而无需完全的root访问权限。
-
eBPF可以提取网络数据的元数据，如源和目标IP、端口和协议。
-
在OpenWRT中启用eBPF需要重新编译内核并启用相关配置选项。
-
Keploy使用eBPF监控网络调用，以便在不修改应用代码的情况下自动生成测试用例。
-
GitHub工作流使用YAML文件定义步骤和runner，确保在每个PR中进行一致的测试。
延伸解读
eBPF的优势与应用
eBPF（扩展伯克利数据包过滤器）在监控系统调用和网络活动方面具有显著优势。它能够在不修改应用代码的情况下，自动生成测试用例。这种能力使得开发者可以在持续集成和持续部署（CI/CD）流程中，安全高效地追踪网络活动，提升代码合并的安全性。
GitHub Runner的权限限制
虽然GitHub的runner提供了类似root的权限，但仍然存在一些限制，例如无法编辑或配置cgroups。这意味着在使用eBPF进行网络监控时，开发者需要依赖于GitHub提供的有限sudo权限和kprobes钩子。这种限制可能影响某些高级功能的实现，开发者需对此有所了解。
与其他平台的比较
在支持eBPF的环境中，GitHub和GitLab允许在runner上附加kprobes钩子，而Bitbucket则不支持。这种差异意味着在选择CI/CD平台时，开发者需要考虑其对eBPF工具的支持程度，以确保能够有效地进行网络监控和测试。
延伸问答
Keploy如何在GitHub流水线中集成其工具？
Keploy希望将其工具集成到GitHub流水线中，以确保拉取请求的安全合并和部署。
eBPF在Keploy中的作用是什么？
eBPF用于跟踪网络调用，允许在不修改应用代码的情况下自动生成测试用例。
GitHub的runner提供了什么样的权限？
GitHub的runner提供有限的sudo权限，足以支持Keploy的功能。
如何在GitHub Actions中运行eBPF？
eBPF可以在GitHub Actions中运行，因为它通过附加到kprobes等内核钩子，而不需要完全的root访问权限。
eBPF可以提取哪些网络数据？
eBPF可以提取源和目标IP、端口、协议以及数据包大小等元数据。
如何在OpenWRT中启用eBPF？
在OpenWRT中启用eBPF需要重新编译内核，并启用相关的配置选项，如CONFIG_BPF和CONFIG_BPF_SYSCALL。
