@7n/rules-ci-azure 1.2.1 → 1.3.0

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [1.3.0] - 2026-07-18
+
+### Added
+
+- Сервіс-орієнтований CI-канон: концерн azure-pipelines/service_deploy_pipeline — форма per-service pipeline у .azurepipelines/ (plan-гейт `ci plan --azure`, per-domain lint-джоби з dependsOn+condition, термінальні джоби зі Skipped-толерантним condition)
+
 ## [1.2.1] - 2026-07-16
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-azure",
-  "version": "1.2.1",
+  "version": "1.3.0",
   "description": "\u041f\u043b\u0430\u0433\u0456\u043d @7n/rules: \u043a\u0430\u043d\u043e\u043d Azure Pipelines (azure-pipelines.yml) \u2014 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430, lint-\u0441\u0442\u0435\u043f, VS Code",
   "keywords": [
     "azure-pipelines",

package/rules/azure-pipelines/main.mdc

@@ -1,11 +1,13 @@
 ---
-description: Канон Azure Pipelines — структура azure-pipelines.yml, обов'язковий lint-степ n-rules, розширення VS Code
-version: '1.0'
-globs: "azure-pipelines.yml"
+description: Канон Azure Pipelines — структура azure-pipelines.yml, обов'язковий lint-степ n-rules, сервіс-орієнтовані deploy-pipelines, розширення VS Code
+version: '1.1'
+globs: "azure-pipelines.yml,.azurepipelines/**/*.yml"
 alwaysApply: false
 ---
 
-Правило **azure-pipelines** (плагін `@7n/rules-ci-azure`) перевіряє канонічну структуру `azure-pipelines.yml` у корені репозиторію та налаштування VS Code для роботи з Azure Pipelines. Аналог правила `ga` (плагін `@7n/rules-ci-github`) для репозиторіїв на Azure DevOps.
+Правило **azure-pipelines** (плагін `@7n/rules-ci-azure`) перевіряє канонічну структуру `azure-pipelines.yml` у корені репозиторію, форму сервіс-орієнтованих deploy-pipelines у `.azurepipelines/` та налаштування VS Code для роботи з Azure Pipelines. Аналог правила `ga` (плагін `@7n/rules-ci-github`) для репозиторіїв на Azure DevOps.
+
+Ролі pipeline-ів: **кореневий `azure-pipelines.yml`** — repo-wide лінт (safety-net `--full`), деплой **не гейтить**; **сервісні pipelines** (`.azurepipelines/**/*.yml` із `trigger.paths.include`) — гейтять деплой свого сервісу через plan → lint/test → deploy (концерн `service_deploy_pipeline`).
 
 - `azure-pipelines.yml`:
 
@@ -67,6 +69,14 @@ Substring-перевірки замість exact-match — Azure YAML допу
 
 Канон: [azure-pipelines-lint.yml.snippet.yml](./lint_pipeline/template/azure-pipelines-lint.yml.snippet.yml)
 
+## Сервіс-орієнтовані deploy-pipelines (`.azurepipelines/**/*.yml`, опційно)
+
+Rego-пакет: `azure_pipelines.service_deploy_pipeline`
+
+**Цільові файли:** `.azurepipelines/**/*.yml` крім `templates/**`; сервісним вважається файл із `trigger.paths.include`.
+
+Форма: джоба `plan` (`bunx n-rules ci plan --path <svc> --azure`, крок з `name: plan`) → паралельні `lint_<domain>`-джоби (`dependsOn: plan`, `condition` по `dependencies.plan.outputs['plan.<domain>']`, `lint <domain> --path <svc> --no-fix`) і `run_tests` → термінальні джоби з dependsOn-ланцюгом на всі перевірки та Skipped-толерантним `condition`. Деталі й template-розкладка: [service_deploy_pipeline.mdc](./service_deploy_pipeline/service_deploy_pipeline.mdc); приклад — [deploy-service-pipeline.yml.snippet.yml](./service_deploy_pipeline/template/deploy-service-pipeline.yml.snippet.yml).
+
 ## `.vscode/extensions.json` — розширення для Azure Pipelines
 
 Rego-пакет: `azure_pipelines.vscode_extensions`

package/rules/azure-pipelines/service_deploy_pipeline/concern.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "https://unpkg.com/@7n/rules/schemas/concern.json",
+  "fixability": "config",
+  "policy": {
+    "files": {
+      "walkGlob": [".azurepipelines/**/*.yml", "!.azurepipelines/templates/**"]
+    }
+  }
+}

package/rules/azure-pipelines/service_deploy_pipeline/service_deploy_pipeline.mdc

@@ -0,0 +1,19 @@
+## Rego-gate сервіс-орієнтованих deploy-pipeline (`.azurepipelines/**/*.yml`)
+
+Rego-пакет: `azure_pipelines.service_deploy_pipeline`
+
+Цільові файли: усі `.azurepipelines/**/*.yml`, крім `templates/**` (walkGlob). Дискримінатор — **`trigger.paths.include`**: файл із paths-фільтром вважається сервісним pipeline і мусить відповідати формі; без нього — концерн мовчить. Кореневий `azure-pipelines.yml` (repo-wide лінт, канон `pipeline_common`) поза глобом — він деплой не гейтить.
+
+Канонічна форма per-service pipeline (каталог сервісу — напр. `run/nexus`):
+
+1. **Тригер** — `trigger.paths.include` з каталогом сервісу.
+2. **`plan`-джоба** — `checkout: self` із `fetchDepth: 0` → prep (install bun + `bun install --frozen-lockfile`) → крок `bunx n-rules ci plan --path run/<service> --azure` **з `name: plan`** (downstream читає `dependencies.plan.outputs['plan.<domain>']`).
+3. **`lint_<domain>`-джоби** (паралельно) — `dependsOn: plan`, `condition: eq(dependencies.plan.outputs['plan.<domain>'], 'true')` (ключ = домен із `-`→`_`), крок `bunx n-rules lint <domain> --path run/<service> --no-fix` з `--path` ∈ `trigger.paths.include`, prep у кожній джобі (джоби не шарять ФС).
+4. **`run_tests`** — `dependsOn: plan`, `condition` по `plan.any`; тести лише сервісу (python-стек — uv: `curl … astral.sh/uv/install.sh | sh` + `uv sync --locked`).
+5. **Термінальні джоби** (`build_and_push`/`deploy_*`) — dependsOn-ланцюг **транзитивно досягає** `plan` і всі перевірки; джоба з `dependsOn` на умовні lint-джоби має `condition` з `not(canceled())` та `in(dependencies.<j>.result, 'Succeeded', 'Skipped')` — skipped-лінт не блокує деплой, failed — блокує.
+
+**Template-розкладка** (efes-стиль `- template:` з параметром-каталогом): законна, rego тоді перевіряє лише видиме у файлі — що параметр template-посилання дорівнює одному з `paths.include`; повнота графа всередині шаблону — відповідальність автора за цим каноном (rego не бачить розгорнутий YAML).
+
+Що НЕ перевіряється: добір доменів під вміст сервісу, зміст test/deploy-кроків, uv-prep, шаблони в `templates/**`.
+
+Канон-snippet (документаційний приклад): [deploy-service-pipeline.yml.snippet.yml](./template/deploy-service-pipeline.yml.snippet.yml)

package/rules/azure-pipelines/service_deploy_pipeline/service_deploy_pipeline.rego

@@ -0,0 +1,281 @@
+# Форма сервіс-орієнтованого deploy-pipeline (`.azurepipelines/**/*.yml`,
+# крім `templates/**`). Дзеркало ga.service_deploy_workflow для Azure Pipelines.
+#
+# Дискримінатор застосовності — НЕ імʼя файлу, а `trigger.paths.include`:
+# файл із paths-фільтром = сервісний pipeline і мусить відповідати формі;
+# файл без нього (repo-wide) — жодних deny. Кореневий azure-pipelines.yml
+# поза walkGlob узагалі (канон pipeline_common).
+#
+# Канон (azure-pipelines.mdc, сніпет template/deploy-service-pipeline.yml.snippet.yml):
+#   plan (checkout fetchDepth:0 + bun install + `bunx n-rules ci plan --path <svc> --azure`,
+#         крок з `name: plan`)
+#     ├─ lint_<domain> × N  (dependsOn: plan; condition по dependencies.plan.outputs['plan.<domain>'];
+#     │                      `bunx n-rules lint <domain> --path <svc> --no-fix`)
+#     ├─ run_tests          (dependsOn: plan)
+#     └─ build_and_push/deploy (dependsOn-ланцюг досягає plan і всі перевірки;
+#                               condition: not(canceled()) + 'Skipped'-толерантність)
+#
+# Template-розкладка (`- template:` з параметром-каталогом) законна: rego тоді
+# перевіряє лише видиме у файлі — наявність template-посилання з параметром,
+# що дорівнює одному з paths.include; повна перевірка графа — .mdc-канон.
+package azure_pipelines.service_deploy_pipeline
+
+import rego.v1
+
+# ── extraction ──────────────────────────────────────────────────────────
+
+service_paths contains p if {
+	some p in input.trigger.paths.include
+	is_string(p)
+}
+
+is_service_pipeline if count(service_paths) > 0
+
+# Джоби на будь-якій глибині (root jobs / stages→jobs).
+all_jobs contains j if {
+	walk(input, [_, j])
+	is_object(j)
+	is_string(object.get(j, "job", 0))
+}
+
+# `- template:`-посилання з параметрами (efes-стиль modulePath).
+template_refs contains t if {
+	walk(input, [_, t])
+	is_object(t)
+	is_string(object.get(t, "template", 0))
+}
+
+template_covers_service if {
+	some t in template_refs
+	some v in object.get(t, "parameters", {})
+	v in service_paths
+}
+
+plan_jobs contains j if {
+	some j in all_jobs
+	j.job == "plan"
+}
+
+plan_runs contains r if {
+	some j in plan_jobs
+	some r in job_cmds(j)
+	contains(r, "n-rules ci plan")
+}
+
+# Lint-джоби (`n-rules lint <domain> … --path …`) з розібраною командою.
+lint_cmds contains cmd if {
+	some j in all_jobs
+	j.job != "plan"
+	some r in job_cmds(j)
+	m := regex.find_all_string_submatch_n(`n-rules lint\s+([a-z0-9-]+)\s+[^\n]*--path\s+(\S+)`, r, 1)
+	count(m) > 0
+	cmd := {"job": j.job, "spec": j, "domain": m[0][1], "path": m[0][2], "run": r}
+}
+
+check_jobs contains cmd.job if some cmd in lint_cmds
+
+# Граф dependsOn і транзитивна досяжність (ланцюг deploy → build → перевірки).
+needs_graph[name] := depends_of(j) if {
+	some j in all_jobs
+	name := j.job
+}
+
+all_needed contains n if {
+	some j in all_jobs
+	some n in depends_of(j)
+}
+
+terminal_jobs contains j.job if {
+	some j in all_jobs
+	j.job != "plan"
+	not j.job in check_jobs
+	not j.job in all_needed
+}
+
+job_by_name[name] := j if {
+	some j in all_jobs
+	name := j.job
+}
+
+# ── deny: plan-джоба ────────────────────────────────────────────────────
+
+deny contains msg if {
+	is_service_pipeline
+	count(all_jobs) > 0
+	count(plan_jobs) == 0
+	not template_covers_service
+	msg := "service-pipeline: немає job `plan` з кроком `bunx n-rules ci plan --path <svc> --azure` (azure-pipelines.mdc: сервіс-канон)"
+}
+
+deny contains msg if {
+	is_service_pipeline
+	count(all_jobs) == 0
+	count(template_refs) > 0
+	not template_covers_service
+	msg := "service-pipeline: `- template:` без параметра-каталогу з trigger.paths.include — гейт не привʼязаний до сервісу (azure-pipelines.mdc)"
+}
+
+deny contains msg if {
+	msg := "service-pipeline: job `plan` без кроку `bunx n-rules ci plan …` (azure-pipelines.mdc: сервіс-канон)"
+	is_service_pipeline
+	some j in plan_jobs
+	count([r | some r in job_cmds(j); contains(r, "n-rules ci plan")]) == 0
+}
+
+deny contains msg if {
+	msg := "service-pipeline: `ci plan` без `--azure` — outputs не стануть змінними джоби (azure-pipelines.mdc)"
+	is_service_pipeline
+	some r in plan_runs
+	not contains(r, "--azure")
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some r in plan_runs
+	m := regex.find_all_string_submatch_n(`n-rules ci plan\s+--path\s+(\S+)`, r, 1)
+	count(m) > 0
+	not m[0][1] in service_paths
+	msg := sprintf("service-pipeline: `ci plan --path %s` ∉ trigger.paths.include — план рахується не для того каталогу (azure-pipelines.mdc)", [m[0][1]])
+}
+
+# Outputs адресуються як dependencies.plan.outputs['plan.<key>'] — крок мусить мати name: plan.
+deny contains msg if {
+	msg := "service-pipeline: крок `ci plan` без `name: plan` — downstream-condition не знайде outputs (azure-pipelines.mdc)"
+	is_service_pipeline
+	some j in plan_jobs
+	count([s | some s in object.get(j, "steps", []); contains(step_cmd(s), "n-rules ci plan"); s.name == "plan"]) == 0
+}
+
+# ── deny: lint-джоби ────────────────────────────────────────────────────
+
+deny contains msg if {
+	is_service_pipeline
+	some cmd in lint_cmds
+	not "plan" in depends_of(cmd.spec)
+	msg := sprintf("%s: lint-джоба мусить мати dependsOn: plan (azure-pipelines.mdc: сервіс-канон)", [cmd.job])
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some cmd in lint_cmds
+	cond := object.get(cmd.spec, "condition", "")
+	not contains(cond, sprintf("dependencies.plan.outputs['plan.%s']", [replace(cmd.domain, "-", "_")]))
+	msg := sprintf("%s: lint-джоба без condition по dependencies.plan.outputs['plan.%s'] — крок не скіпатиметься (azure-pipelines.mdc)", [cmd.job, replace(cmd.domain, "-", "_")])
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some cmd in lint_cmds
+	not cmd.path in service_paths
+	msg := sprintf("%s: `lint %s --path %s` ∉ trigger.paths.include — лінтиться інший каталог (azure-pipelines.mdc)", [cmd.job, cmd.domain, cmd.path])
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some cmd in lint_cmds
+	not contains(cmd.run, "--no-fix")
+	msg := sprintf("%s: `n-rules lint` у CI мусить мати `--no-fix` (azure-pipelines.mdc)", [cmd.job])
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some cmd in lint_cmds
+	not job_has_prep(cmd.spec)
+	msg := sprintf("%s: lint-джоба без prep-кроку `bun install --frozen-lockfile` (джоби не шарять ФС) (azure-pipelines.mdc)", [cmd.job])
+}
+
+# ── deny: fetchDepth для git-дельти ─────────────────────────────────────
+
+deny contains msg if {
+	msg := "plan: checkout мусить мати fetchDepth: 0 — без історії git-дельта `ci plan` не рахується (azure-pipelines.mdc)"
+	is_service_pipeline
+	some j in plan_jobs
+	count([r | some r in job_cmds(j); contains(r, "n-rules ci plan")]) > 0
+	not job_has_full_checkout(j)
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some cmd in lint_cmds
+	not job_has_full_checkout(cmd.spec)
+	msg := sprintf("%s: checkout мусить мати fetchDepth: 0 — без історії `lint --path` не бачить дельти (azure-pipelines.mdc)", [cmd.job])
+}
+
+# ── deny: термінальні (deploy) джоби ────────────────────────────────────
+
+deny contains msg if {
+	is_service_pipeline
+	count(check_jobs) > 0
+	some name in terminal_jobs
+	not "plan" in graph.reachable(needs_graph, {name})
+	msg := sprintf("%s: термінальна джоба не досягає `plan` через dependsOn-ланцюг (azure-pipelines.mdc: сервіс-канон)", [name])
+}
+
+deny contains msg if {
+	is_service_pipeline
+	some name in terminal_jobs
+	some cj in check_jobs
+	not cj in graph.reachable(needs_graph, {name})
+	msg := sprintf("%s: термінальна джоба не досягає перевірки `%s` через dependsOn-ланцюг — деплой не гейтиться нею (azure-pipelines.mdc)", [name, cj])
+}
+
+# Skipped-лінт (умовний гейт спрацював) не мусить блокувати деплой, fail — мусить:
+# канон `and(not(canceled()), in(dependencies.<j>.result, 'Succeeded', 'Skipped'), …)`.
+deny contains msg if {
+	is_service_pipeline
+	some name in terminal_jobs
+	needed := depends_of(job_by_name[name])
+	count([cj | some cj in check_jobs; cj in needed]) > 0
+	cond := object.get(job_by_name[name], "condition", "")
+	not skip_tolerant(cond)
+	msg := sprintf("%s: джоба з dependsOn на умовні lint-джоби мусить мати condition із not(canceled()) і 'Skipped'-толерантністю — інакше skipped-лінт назавжди блокує деплой (azure-pipelines.mdc)", [name])
+}
+
+# ── helpers ─────────────────────────────────────────────────────────────
+
+# dependsOn: string | array → array.
+depends_of(job) := [n] if {
+	n := object.get(job, "dependsOn", [])
+	is_string(n)
+}
+
+depends_of(job) := object.get(job, "dependsOn", []) if is_array(object.get(job, "dependsOn", []))
+
+# Команда кроку: `script:` або `bash:`.
+step_cmd(step) := s if {
+	s := object.get(step, "script", "")
+	s != ""
+}
+
+step_cmd(step) := s if {
+	object.get(step, "script", "") == ""
+	s := object.get(step, "bash", "")
+	s != ""
+}
+
+step_cmd(step) := "" if {
+	object.get(step, "script", "") == ""
+	object.get(step, "bash", "") == ""
+}
+
+job_cmds(job) := [c |
+	some step in object.get(job, "steps", [])
+	c := step_cmd(step)
+	c != ""
+]
+
+job_has_prep(job) if {
+	some c in job_cmds(job)
+	contains(c, "bun install --frozen-lockfile")
+}
+
+job_has_full_checkout(job) if {
+	some step in object.get(job, "steps", [])
+	object.get(step, "checkout", "") != ""
+	step.fetchDepth == 0
+}
+
+skip_tolerant(cond) if {
+	contains(cond, "not(canceled())")
+	contains(cond, "'Skipped'")
+}

package/rules/azure-pipelines/service_deploy_pipeline/template/deploy-service-pipeline.yml.snippet.yml

@@ -0,0 +1,77 @@
+# Документаційний приклад сервіс-орієнтованого deploy-pipeline (azure-pipelines.mdc).
+# Це НЕ deep-subset-канон (перелік сервісів консюмер-специфічний) — форму
+# перевіряє service_deploy_pipeline.rego по всіх `.azurepipelines/**/*.yml`
+# з trigger.paths.include. Плейсхолдер run/<service> заміни на каталог сервісу.
+trigger:
+  branches:
+    include:
+      - dev
+      - main
+  paths:
+    include:
+      - run/<service>
+
+pool:
+  vmImage: ubuntu-latest
+
+jobs:
+  - job: plan
+    steps:
+      - checkout: self
+        fetchDepth: 0
+      - script: |
+          curl -fsSL https://bun.sh/install | bash
+          echo "##vso[task.prependpath]$HOME/.bun/bin"
+        displayName: Install bun
+      - script: bun install --frozen-lockfile
+        displayName: Install deps
+      - script: bunx n-rules ci plan --path run/<service> --azure
+        name: plan # ОБОВʼЯЗКОВО: outputs адресуються як dependencies.plan.outputs['plan.<domain>']
+
+  - job: lint_js
+    dependsOn: plan
+    condition: eq(dependencies.plan.outputs['plan.js'], 'true')
+    steps:
+      - checkout: self
+        fetchDepth: 0
+      - script: |
+          curl -fsSL https://bun.sh/install | bash
+          echo "##vso[task.prependpath]$HOME/.bun/bin"
+        displayName: Install bun
+      - script: bun install --frozen-lockfile
+        displayName: Install deps
+      - script: bunx n-rules lint js --path run/<service> --no-fix
+        displayName: Lint js
+
+  # …lint_<domain> для кожного домену сервісу (python/docker/k8s/security/…)
+  # python-стек: перед тестами ще uv (curl -LsSf https://astral.sh/uv/install.sh | sh + uv sync --locked)
+
+  - job: run_tests
+    dependsOn: plan
+    condition: eq(dependencies.plan.outputs['plan.any'], 'true')
+    steps:
+      - checkout: self
+        fetchDepth: 0
+      - script: |
+          curl -fsSL https://bun.sh/install | bash
+          echo "##vso[task.prependpath]$HOME/.bun/bin"
+        displayName: Install bun
+      - script: bun install --frozen-lockfile
+        displayName: Install deps
+      - script: bun test run/<service>
+        displayName: Tests
+
+  - job: build_and_push
+    dependsOn:
+      - plan
+      - lint_js
+      - run_tests
+    # Skipped-лінт (гейт ci plan) НЕ блокує деплой; failed — блокує.
+    condition: >-
+      and(not(canceled()),
+          eq(dependencies.plan.result, 'Succeeded'),
+          in(dependencies.lint_js.result, 'Succeeded', 'Skipped'),
+          in(dependencies.run_tests.result, 'Succeeded', 'Skipped'))
+    steps:
+      - checkout: self
+      # …кроки build/push/deploy сервісу