Aller au contenu principal

H-15 CI/CD

Brique H de la plateforme Enterprise AI. Technologie : runners GitLab CE CI ou Forgejo Actions (auto-hébergés). Version anglaise : ../../en/bricks/H-15-ci-cd.md.

Rôle et responsabilités​

  • Construire, tester, analyser (H-11), SBOM (H-12), signer (H-13), pousser (H-16), exécuter les quality gates (G-13), mettre à jour le dépôt GitOps (H-08).

Position et interactions​

  • Chemin d'exécution : workflow.
  • Les commandes enterprise-ai validate et enterprise-ai test s'exécutent dans les pipelines.

Part open source et part développée​

  • Open source réutilisé : GitLab CE ou Forgejo, runners.
  • Développé dans la plateforme : Gabarits de pipelines pour la plateforme et les artefacts des tenants.

Modèle de données​

Tables du Control Plane (schéma eai) : eai.eval_runs.

Chaque table de tenant a tenant_id uuid NOT NULL et une politique de sécurité au niveau des lignes sur current_setting('app.tenant_id', true)::uuid. ClickHouse usage_events est la réplique analytique de eai.usage_events (ReplacingMergeTree par event_id).

Contrat : contracts/v1/evaluation-contract.schema.json (schema_version 1.0). L'usage est toujours remonté avec contracts/v1/usage-event.schema.json, l'audit avec contracts/v1/audit-event.schema.json.

Endpoints d'API​

MéthodeChemin
POST/v1/evaluations/gates/check
POST/v1/contracts/{name}/validate

POST /v1/evaluations/gates/check​

Requête :

{
  "target": {
    "type": "agent",
    "ref": "agt_ap",
    "version": "1.4.0"
  },
  "suite_ids": [
    "evs_12"
  ],
  "run_missing": true
}

Réponse :

{
  "passed": false,
  "reasons": [
    "redteam run missing for version 1.4.0"
  ],
  "evidence": [
    "evr_77"
  ]
}

POST /v1/contracts/{name}/validate​

Requête :

{
  "document": {
    "schema_version": "1.0"
  }
}

Réponse :

{
  "valid": false,
  "errors": [
    {
      "path": "/event_id",
      "message": "required"
    }
  ]
}

Exemples SDK​

Python​

from enterprise_ai import EnterpriseAI

client = EnterpriseAI(base_url="<control-plane-url>", api_key="eai_live_xxx", tenant="acme", locale="fr")
client.evaluation.check_gate(target={"type": "agent", "ref": "agt_ap", "version": "1.4.0"})
client.contracts.validate(name="usage-event", document={"schema_version": "1.0"})

TypeScript​

import { EnterpriseAI } from "@enterprise-ai/sdk";

const client = new EnterpriseAI({ baseUrl: "<control-plane-url>", apiKey: process.env.EAI_API_KEY, tenant: "acme", locale: "fr" });
await client.evaluations.checkGate({ target: { type: "agent", ref: "agt_ap", version: "1.4.0" }, suite_ids: ["evs_12"] });
await client.contracts.validate({ name: "usage-event", document: { schemaVersion: "1.0" } });

Java​

EnterpriseAIClient client = EnterpriseAIClient.builder()
    .baseUrl("<control-plane-url>")
    .apiKey(System.getenv("EAI_API_KEY"))
    .tenant("acme")
    .locale(Locale.FRENCH)
    .build();
client.evaluations().checkGate(Map.of("target", Map.of("type", "agent", "ref", "agt_ap", "version", "1.4.0"), "suite_ids", List.of("evs_12")));
client.contracts().validate("usage-event", Map.of("schema_version", "1.0"));

Go​

client, err := eai.NewClient(eai.WithBaseURL("<control-plane-url>"), eai.WithAPIKey(os.Getenv("EAI_API_KEY")), eai.WithTenant("acme"), eai.WithLocale("fr"))
if err != nil { log.Fatal(err) }
ctx := context.Background()
_, err = client.Evaluations.CheckGate(ctx, map[string]any{"target": map[string]any{"type": "agent", "ref": "agt_ap", "version": "1.4.0"}})
_, err = client.Contracts.Validate("usage-event", map[string]any{"schema_version": "1.0"})

Configuration​

Variables d'environnement : EAI_API_URL.

Sécurité​

  • Runners isolés, OIDC vers OpenBao, aucun secret de longue durée.
  • Tenant déduit de l'identifiant d'accès, jamais du corps ; sécurité au niveau des lignes PostgreSQL sur chaque table de tenant.
  • Chaque mutation et décision de politique écrit un événement d'audit chaîné par hachage (G-11).
  • Les erreurs utilisent l'enveloppe standard avec message_i18n en et fr.

Observabilité​

  • Durée et taux d'échec des pipelines.
  • traceparent W3C propagé, X-Request-Id renvoyé, les spans portent eai.tenant_id, eai.project, eai.agent_id, eai.run_id.

Unités FinOps​

  • Les runs d'évaluation en CI sont budgétés par un quota CI.

Modes de défaillance et résilience​

  • Un échec de gate bloque la fusion.

Adoption autonome​

Gabarits portables vers GitHub Actions.

Tests d'acceptation​

  1. Un pipeline avec une validation de contrat en échec s'arrête avant la construction.

Feuille de route d'implémentation