# nginx-deployment.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:

      - name: nginx
        image: nginx:1.21.6 # 意図的に古いバージョンを使用
        ports:

        - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-service
spec:
  selector:
    app: nginx
  ports:

    - protocol: TCP
      port: 80
      targetPort: 80
  type: ClusterIP

#!/usr/bin/env bash


# File: validate_manifest.sh

# 厳格なエラーハンドリングを有効にする


# -e: コマンドが失敗した場合、即座に終了する


# -u: 未定義の変数を参照した場合、エラーとする


# -o pipefail: パイプライン中のコマンドが失敗した場合、パイプライン全体を失敗とする

set -euo pipefail

# 一時ディレクトリの作成と終了時のクリーンアップ


# 前提: mktempコマンドが利用可能であること


# 計算量: O(1)


# メモリ: 非常に小さい

TMP_DIR=$(mktemp -d -t dry-run-XXXXXX)

# スクリプト終了時に一時ディレクトリを削除する

trap 'rm -rf "$TMP_DIR"' EXIT

# マニフェストファイルへのパス


# 入力: マニフェストファイルパス (例: "./nginx-deployment.yaml")

MANIFEST_FILE="${1:-./nginx-deployment.yaml}"

# ファイルが存在するか確認

if [[ ! -f "$MANIFEST_FILE" ]]; then
    echo "エラー: マニフェストファイル '$MANIFEST_FILE' が見つかりません。" >&2
    exit 1
fi

echo "--- Kubernetesマニフェスト検証開始 ($MANIFEST_FILE) ---"

# kubectl --dry-run=client を実行し、JSON形式で出力を取得


# 出力: JSON形式のkubectl実行結果


# 前提: kubectlコマンドが利用可能であること


# 計算量: O(N) (Nはマニフェストファイルのサイズに比例)


# メモリ: マニフェストファイルのサイズに応じて変動

if kubectl apply --dry-run=client -f "$MANIFEST_FILE" -o json > "$TMP_DIR/dry-run-output.json"; then
    echo "INFO: クライアントサイドでの検証は成功しました。"

    # jq を用いて検証結果からリソースの種類と名前を抽出


    # 入力: JSONファイル


    # 出力: フィルタリングされたJSONまたはテキスト


    # 前提: jqコマンドが利用可能であること


    # 計算量: O(M) (MはJSON出力のサイズに比例)


    # メモリ: JSON出力のサイズに応じて変動

    echo "--- 検証されたリソース ---"
    jq -r '.items[] | {kind: .kind, name: .metadata.name}' "$TMP_DIR/dry-run-output.json"
    echo "--------------------------"

    # 検証成功のWebhook通知（例）


    # 入力: Webhook URL、JSONペイロード


    # 出力: curlの実行結果 (標準出力/エラー)


    # 前提: curlコマンドが利用可能であること、ネットワーク接続


    # 計算量: O(ネットワークI/O)


    # メモリ: 小さい


    # 実際にはここに設定ファイルなどからURLを取得するロジックが入る

    WEBHOOK_URL="https://example.com/webhook/success"
    NOTIFICATION_PAYLOAD=$(jq -n --arg file "$MANIFEST_FILE" '{"status": "validation_success", "message": "マニフェストのクライアントサイド検証が成功しました。", "file": $file}')
    if curl --fail --retry 5 --retry-delay 3 --max-time 10 -H "Content-Type: application/json" -d "$NOTIFICATION_PAYLOAD" "$WEBHOOK_URL" &> /dev/null; then
        echo "INFO: 検証成功のWebhook通知を送信しました。"
    else
        echo "警告: 検証成功のWebhook通知の送信に失敗しました。" >&2
    fi

    exit 0
else

    # kubectl apply --dry-run=client が失敗した場合

    echo "エラー: クライアントサイドでの検証が失敗しました。" >&2

    # エラーメッセージを標準エラー出力に直接表示（kubectlの出力は通常すでにエラー）

    cat "$TMP_DIR/dry-run-output.json" >&2 || true # ファイルが存在しない場合もエラーにしない

    # 検証失敗のWebhook通知（例）

    WEBHOOK_URL="https://example.com/webhook/failure"
    ERROR_MESSAGE=$(cat "$TMP_DIR/dry-run-output.json" | jq -r .message 2>/dev/null || echo "Unknown kubectl error")
    NOTIFICATION_PAYLOAD=$(jq -n --arg file "$MANIFEST_FILE" --arg error "$ERROR_MESSAGE" '{"status": "validation_failure", "message": "マニフェストのクライアントサイド検証が失敗しました。", "file": $file, "error": $error}')
    if curl --fail --retry 5 --retry-delay 3 --max-time 10 -H "Content-Type: application/json" -d "$NOTIFICATION_PAYLOAD" "$WEBHOOK_URL" &> /dev/null; then
        echo "INFO: 検証失敗のWebhook通知を送信しました。"
    else
        echo "警告: 検証失敗のWebhook通知の送信に失敗しました。" >&2
    fi

    exit 1
fi

bash validate_manifest.sh ./nginx-deployment.yaml

# bad-deployment.yaml

apiVersion: apps/v1beta1 # 不正なAPIバージョン
kind: Deployment
metadata:
  name: bad-nginx-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: bad-nginx
  template:
    metadata:
      labels:
        app: bad-nginx
    spec:
      containers:

      - name: bad-nginx
        image: nginx:latest
        ports:

        - containerPort: 80

bash validate_manifest.sh ./bad-deployment.yaml

stages:

  - validate

validate_kubernetes_manifests:
  stage: validate
  image: alpine/git:latest # kubectlは別途インストールまたは指定
  before_script:

    - apk add --no-cache curl jq # Alpine Linuxの場合

    - curl -LO "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl"

    - chmod +x kubectl

    - mv kubectl /usr/local/bin/
  script:

    - bash validate_manifest.sh ./nginx-deployment.yaml

    - bash validate_manifest.sh ./other-manifests/*.yaml # 複数のマニフェストを検証する場合
  rules:

    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'

    - if: '$CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH'

# /etc/systemd/system/manifest-validation.service

[Unit]
Description=Kubernetes Manifest Client-Side Validation Service
Documentation=https://kubernetes.io/docs/reference/kubectl/usage/#dry-run
Requires=network-online.target # curlによるWebhook通知のためにネットワークが必要
After=network-online.target

[Service]
Type=oneshot
User=validation-user # 最小権限の専用ユーザーで実行
Group=validation-group # 最小権限の専用グループで実行
WorkingDirectory=/opt/manifest-repo # マニフェストリポジトリのパス
ExecStart=/opt/scripts/validate_manifest.sh /opt/manifest-repo/nginx-deployment.yaml

# 環境変数KUBECONFIGを設定する場合 (dry-run=serverなどを用いる場合)


# Environment="KUBECONFIG=/home/validation-user/.kube/config"

ProtectSystem=full
ProtectHome=true
PrivateTmp=true
NoNewPrivileges=true
ReadWritePaths=/opt/manifest-repo /tmp

# 実行ユーザーの作成例 (root権限で実行):


# sudo useradd -r -s /usr/sbin/nologin -d /opt/manifest-repo validation-user


# sudo chown validation-user:validation-group /opt/manifest-repo

# /etc/systemd/system/manifest-validation.timer

[Unit]
Description=Run Kubernetes Manifest Client-Side Validation daily

[Timer]
OnCalendar=daily

# Persistent=true # サービスが停止中に発生したイベントも次回の起動時に実行

[Install]
WantedBy=timers.target

# systemd設定をリロード

sudo systemctl daemon-reload

# タイマーを有効化し、起動

sudo systemctl enable manifest-validation.timer
sudo systemctl start manifest-validation.timer

# タイマーの状態を確認

sudo systemctl list-timers | grep manifest-validation

# サービスの実行ログを確認 (実行後に確認可能)

sudo journalctl -u manifest-validation.service