Claude Code GitLab CI/CD

​

Warum Claude Code mit GitLab verwenden?

• Sofortige MR-Erstellung: Beschreiben Sie, was Sie benötigen, und Claude schlägt einen vollständigen MR mit Änderungen und Erklärung vor
• Automatisierte Implementierung: Verwandeln Sie Probleme mit einem einzigen Befehl oder einer Erwähnung in funktionierenden Code
• Projektbewusst: Claude folgt Ihren CLAUDE.md-Richtlinien und vorhandenen Code-Mustern
• Einfaches Setup: Fügen Sie einen Job zu .gitlab-ci.yml und eine maskierte CI/CD-Variable hinzu
• Enterprise-ready: Wählen Sie Claude API, AWS Bedrock oder Google Vertex AI, um Anforderungen an Datenresidenz und Beschaffung zu erfüllen
• Standardmäßig sicher: Läuft in Ihren GitLab-Runnern mit Ihrem Branch-Schutz und Genehmigungen

​

Wie es funktioniert

1. Ereignisgesteuerte Orchestrierung: GitLab lauscht auf Ihre gewählten Trigger (zum Beispiel ein Kommentar, der @claude in einem Problem, MR oder Review-Thread erwähnt). Der Job sammelt Kontext aus dem Thread und Repository, erstellt Prompts aus dieser Eingabe und führt Claude Code aus.
2. Provider-Abstraktion: Verwenden Sie den Provider, der zu Ihrer Umgebung passt:
   • Claude API (SaaS)
   • AWS Bedrock (IAM-basierter Zugriff, regionsübergreifende Optionen)
   • Google Vertex AI (GCP-nativ, Workload Identity Federation)
3. Sandboxed-Ausführung: Jede Interaktion läuft in einem Container mit strikten Netzwerk- und Dateisystem-Regeln. Claude Code erzwingt Workspace-bezogene Berechtigungen, um Schreibvorgänge einzuschränken. Jede Änderung fließt durch einen MR, damit Reviewer den Diff sehen und Genehmigungen weiterhin gelten.

​

Was kann Claude tun?

• Erstellen und aktualisieren Sie MRs aus Problembeschreibungen oder Kommentaren
• Analysieren Sie Performance-Regressionstests und schlagen Sie Optimierungen vor
• Implementieren Sie Funktionen direkt in einem Branch und öffnen Sie dann einen MR
• Beheben Sie Fehler und Regressionstests, die durch Tests oder Kommentare identifiziert wurden
• Antworten Sie auf Folgekommentare, um auf angeforderte Änderungen zu iterieren

​

Setup

​

Schnelles Setup

1. Fügen Sie eine maskierte CI/CD-Variable hinzu
   • Gehen Sie zu Einstellungen → CI/CD → Variablen
   • Fügen Sie ANTHROPIC_API_KEY hinzu (maskiert, bei Bedarf geschützt)
2. Fügen Sie einen Claude-Job zu .gitlab-ci.yml hinzu

stages:
  - ai

claude:
  stage: ai
  image: node:24-alpine3.21
  # Passen Sie die Regeln an, wie Sie den Job auslösen möchten:
  # - manuelle Ausführungen
  # - Merge-Request-Ereignisse
  # - Web/API-Trigger, wenn ein Kommentar '@claude' enthält
  rules:
    - if: '$CI_PIPELINE_SOURCE == "web"'
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
  variables:
    GIT_STRATEGY: fetch
  before_script:
    - apk update
    - apk add --no-cache git curl bash
    - npm install -g @anthropic-ai/claude-code
  script:
    # Optional: Starten Sie einen GitLab MCP-Server, wenn Ihr Setup einen bereitstellt
    - /bin/gitlab-mcp-server || true
    # Verwenden Sie AI_FLOW_*-Variablen beim Aufrufen über Web/API-Trigger mit Kontext-Payloads
    - echo "$AI_FLOW_INPUT for $AI_FLOW_CONTEXT on $AI_FLOW_EVENT"
    - >
      claude
      -p "${AI_FLOW_INPUT:-'Review this MR and implement the requested changes'}"
      --permission-mode acceptEdits
      --allowedTools "Bash(*) Read(*) Edit(*) Write(*) mcp__gitlab"
      --debug

​

Manuelles Setup (empfohlen für Produktion)

1. Konfigurieren Sie Provider-Zugriff:
   • Claude API: Erstellen und speichern Sie ANTHROPIC_API_KEY als maskierte CI/CD-Variable
   • AWS Bedrock: Konfigurieren Sie GitLab → AWS OIDC und erstellen Sie eine IAM-Rolle für Bedrock
   • Google Vertex AI: Konfigurieren Sie Workload Identity Federation für GitLab → GCP
2. Fügen Sie Projektanmeldedaten für GitLab API-Operationen hinzu:
   • Verwenden Sie standardmäßig CI_JOB_TOKEN, oder erstellen Sie ein Project Access Token mit api-Bereich
   • Speichern Sie als GITLAB_ACCESS_TOKEN (maskiert), wenn Sie ein PAT verwenden
3. Fügen Sie den Claude-Job zu .gitlab-ci.yml hinzu (siehe Beispiele unten)
4. (Optional) Aktivieren Sie Mention-gesteuerte Trigger:
   • Fügen Sie einen Projekt-Webhook für “Kommentare (Notizen)” zu Ihrem Event-Listener hinzu (falls Sie einen verwenden)
   • Lassen Sie den Listener die Pipeline-Trigger-API mit Variablen wie AI_FLOW_INPUT und AI_FLOW_CONTEXT aufrufen, wenn ein Kommentar @claude enthält

​

Beispiel-Anwendungsfälle

​

Verwandeln Sie Probleme in MRs

@claude implement this feature based on the issue description

​

Erhalten Sie Implementierungshilfe

@claude suggest a concrete approach to cache the results of this API call

​

Beheben Sie Fehler schnell

@claude fix the TypeError in the user dashboard component

​

Verwendung mit AWS Bedrock & Google Vertex AI

# Für AWS Bedrock:
- AWS_ROLE_TO_ASSUME
- AWS_REGION

​

Konfigurationsbeispiele

​

Basis .gitlab-ci.yml (Claude API)

stages:
  - ai

claude:
  stage: ai
  image: node:24-alpine3.21
  rules:
    - if: '$CI_PIPELINE_SOURCE == "web"'
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
  variables:
    GIT_STRATEGY: fetch
  before_script:
    - apk update
    - apk add --no-cache git curl bash
    - npm install -g @anthropic-ai/claude-code
  script:
    - /bin/gitlab-mcp-server || true
    - >
      claude
      -p "${AI_FLOW_INPUT:-'Summarize recent changes and suggest improvements'}"
      --permission-mode acceptEdits
      --allowedTools "Bash(*) Read(*) Edit(*) Write(*) mcp__gitlab"
      --debug
  # Claude Code wird ANTHROPIC_API_KEY aus CI/CD-Variablen verwenden

​

AWS Bedrock-Job-Beispiel (OIDC)

• Amazon Bedrock aktiviert mit Zugriff auf Ihr gewähltes Claude-Modell(e)
• GitLab OIDC in AWS konfiguriert mit einer Rolle, die Ihr GitLab-Projekt und Refs vertraut
• IAM-Rolle mit Bedrock-Berechtigungen (Least Privilege empfohlen)

• AWS_ROLE_TO_ASSUME: ARN der IAM-Rolle für Bedrock-Zugriff
• AWS_REGION: Bedrock-Region (zum Beispiel us-west-2)

claude-bedrock:
  stage: ai
  image: node:24-alpine3.21
  rules:
    - if: '$CI_PIPELINE_SOURCE == "web"'
  before_script:
    - apk add --no-cache bash curl jq git python3 py3-pip
    - pip install --no-cache-dir awscli
    - npm install -g @anthropic-ai/claude-code
    # Tauschen Sie GitLab OIDC-Token gegen AWS-Anmeldedaten aus
    - export AWS_WEB_IDENTITY_TOKEN_FILE="${CI_JOB_JWT_FILE:-/tmp/oidc_token}"
    - if [ -n "${CI_JOB_JWT_V2}" ]; then printf "%s" "$CI_JOB_JWT_V2" > "$AWS_WEB_IDENTITY_TOKEN_FILE"; fi
    - >
      aws sts assume-role-with-web-identity
      --role-arn "$AWS_ROLE_TO_ASSUME"
      --role-session-name "gitlab-claude-$(date +%s)"
      --web-identity-token "file://$AWS_WEB_IDENTITY_TOKEN_FILE"
      --duration-seconds 3600 > /tmp/aws_creds.json
    - export AWS_ACCESS_KEY_ID="$(jq -r .Credentials.AccessKeyId /tmp/aws_creds.json)"
    - export AWS_SECRET_ACCESS_KEY="$(jq -r .Credentials.SecretAccessKey /tmp/aws_creds.json)"
    - export AWS_SESSION_TOKEN="$(jq -r .Credentials.SessionToken /tmp/aws_creds.json)"
  script:
    - /bin/gitlab-mcp-server || true
    - >
      claude
      -p "${AI_FLOW_INPUT:-'Implement the requested changes and open an MR'}"
      --permission-mode acceptEdits
      --allowedTools "Bash(*) Read(*) Edit(*) Write(*) mcp__gitlab"
      --debug
  variables:
    AWS_REGION: "us-west-2"

​

Google Vertex AI-Job-Beispiel (Workload Identity Federation)

• Vertex AI API in Ihrem GCP-Projekt aktiviert
• Workload Identity Federation konfiguriert, um GitLab OIDC zu vertrauen
• Ein Service-Konto mit Vertex AI-Berechtigungen

• GCP_WORKLOAD_IDENTITY_PROVIDER: Vollständiger Provider-Ressourcenname
• GCP_SERVICE_ACCOUNT: Service-Konto-E-Mail
• CLOUD_ML_REGION: Vertex-Region (zum Beispiel us-east5)

claude-vertex:
  stage: ai
  image: gcr.io/google.com/cloudsdktool/google-cloud-cli:slim
  rules:
    - if: '$CI_PIPELINE_SOURCE == "web"'
  before_script:
    - apt-get update && apt-get install -y git nodejs npm && apt-get clean
    - npm install -g @anthropic-ai/claude-code
    # Authentifizieren Sie sich bei Google Cloud über WIF (keine heruntergeladenen Schlüssel)
    - >
      gcloud auth login --cred-file=<(cat <<EOF
      {
        "type": "external_account",
        "audience": "${GCP_WORKLOAD_IDENTITY_PROVIDER}",
        "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
        "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/${GCP_SERVICE_ACCOUNT}:generateAccessToken",
        "token_url": "https://sts.googleapis.com/v1/token"
      }
      EOF
      )
    - gcloud config set project "$(gcloud projects list --format='value(projectId)' --filter="name:${CI_PROJECT_NAMESPACE}" | head -n1)" || true
  script:
    - /bin/gitlab-mcp-server || true
    - >
      CLOUD_ML_REGION="${CLOUD_ML_REGION:-us-east5}"
      claude
      -p "${AI_FLOW_INPUT:-'Review and update code as requested'}"
      --permission-mode acceptEdits
      --allowedTools "Bash(*) Read(*) Edit(*) Write(*) mcp__gitlab"
      --debug
  variables:
    CLOUD_ML_REGION: "us-east5"

​

Best Practices

​

CLAUDE.md-Konfiguration

​

Sicherheitsüberlegungen

• Fügen Sie ANTHROPIC_API_KEY als maskierte Variable hinzu (und schützen Sie sie bei Bedarf)
• Verwenden Sie Provider-spezifisches OIDC, wo möglich (keine langlebigen Schlüssel)
• Begrenzen Sie Job-Berechtigungen und Netzwerk-Egress
• Überprüfen Sie Claudes MRs wie jeden anderen Contributor

​

Optimierung der Leistung

• Halten Sie CLAUDE.md fokussiert und prägnant
• Geben Sie klare Problem-/MR-Beschreibungen an, um Iterationen zu reduzieren
• Konfigurieren Sie angemessene Job-Timeouts, um runaway Runs zu vermeiden
• Cachen Sie npm und Paketinstallationen in Runnern, wo möglich

​

CI-Kosten

• GitLab Runner-Zeit:
  • Claude läuft auf Ihren GitLab-Runnern und verbraucht Compute-Minuten
  • Siehe Ihre GitLab-Plan-Runner-Abrechnung für Details
• API-Kosten:
  • Jede Claude-Interaktion verbraucht Token basierend auf Prompt- und Antwortgröße
  • Die Token-Nutzung variiert je nach Aufgabenkomplexität und Codebasis-Größe
  • Siehe Anthropic-Preise für Details
• Tipps zur Kostenoptimierung:
  • Verwenden Sie spezifische @claude-Befehle, um unnötige Turns zu reduzieren
  • Legen Sie angemessene max_turns- und Job-Timeout-Werte fest
  • Begrenzen Sie die Parallelität, um parallele Runs zu kontrollieren

​

Sicherheit und Governance

• Jeder Job läuft in einem isolierten Container mit eingeschränktem Netzwerkzugriff
• Claudes Änderungen fließen durch MRs, damit Reviewer jeden Diff sehen
• Branch-Schutz- und Genehmigungsregeln gelten für KI-generierte Code
• Claude Code verwendet Workspace-bezogene Berechtigungen, um Schreibvorgänge einzuschränken
• Kosten bleiben unter Ihrer Kontrolle, da Sie Ihre eigenen Provider-Anmeldedaten mitbringen

​

Fehlerbehebung

​

Claude antwortet nicht auf @claude-Befehle

• Überprüfen Sie, ob Ihre Pipeline ausgelöst wird (manuell, MR-Ereignis oder über einen Note-Event-Listener/Webhook)
• Stellen Sie sicher, dass CI/CD-Variablen (ANTHROPIC_API_KEY oder Cloud-Provider-Einstellungen) vorhanden und unmaskiert sind
• Überprüfen Sie, dass der Kommentar @claude enthält (nicht /claude) und dass Ihr Mention-Trigger konfiguriert ist

​

Job kann keine Kommentare schreiben oder MRs öffnen

• Stellen Sie sicher, dass CI_JOB_TOKEN ausreichende Berechtigungen für das Projekt hat, oder verwenden Sie ein Project Access Token mit api-Bereich
• Überprüfen Sie, dass das mcp__gitlab-Tool in --allowedTools aktiviert ist
• Bestätigen Sie, dass der Job im Kontext des MR läuft oder über AI_FLOW_*-Variablen genug Kontext hat

​

Authentifizierungsfehler

• Für Claude API: Bestätigen Sie, dass ANTHROPIC_API_KEY gültig und nicht abgelaufen ist
• Für Bedrock/Vertex: Überprüfen Sie OIDC/WIF-Konfiguration, Rollenimitierung und Geheimnisnamen; bestätigen Sie Region und Modellverfügbarkeit

​

Erweiterte Konfiguration

​

Häufig verwendete Parameter und Variablen

• prompt / prompt_file: Geben Sie Anweisungen inline (-p) oder über eine Datei an
• max_turns: Begrenzen Sie die Anzahl der Hin- und Her-Iterationen
• timeout_minutes: Begrenzen Sie die Gesamtausführungszeit
• ANTHROPIC_API_KEY: Erforderlich für die Claude API (nicht für Bedrock/Vertex verwendet)
• Provider-spezifische Umgebung: AWS_REGION, Projekt-/Regionsvariablen für Vertex

​

Anpassung von Claudes Verhalten

1. CLAUDE.md: Definieren Sie Coding-Standards, Sicherheitsanforderungen und Projektkonventionen. Claude liest dies während der Ausführung und folgt Ihren Regeln.
2. Benutzerdefinierte Prompts: Übergeben Sie aufgabenspezifische Anweisungen über prompt/prompt_file im Job. Verwenden Sie unterschiedliche Prompts für verschiedene Jobs (zum Beispiel Review, Implementierung, Refactoring).