diff --git a/.gitea/workflows/ci.yml b/.gitea/workflows/ci.yml index 4de73c4..fcbe4ea 100644 --- a/.gitea/workflows/ci.yml +++ b/.gitea/workflows/ci.yml @@ -3,22 +3,19 @@ on: push: pull_request: +# Läuft auf dem Runner-Label ubuntu-latest → node:20-bookworm (wie der bestehende Org-Runner). +# Python kommt aus Debian bookworm (3.11), damit kein setup-python nötig ist. jobs: test: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - - uses: actions/setup-python@v5 - with: - python-version: "3.12" + - name: Python installieren + run: | + apt-get update -qq + apt-get install -y -qq --no-install-recommends python3 python3-venv make >/dev/null + python3 --version - run: make dev - run: make lint - run: make test - run: make validate - - compose: - runs-on: ubuntu-latest - continue-on-error: true # braucht Docker Compose v2.24+ auf dem Runner - steps: - - uses: actions/checkout@v4 - - run: make compose-check diff --git a/deploy/gitea-runner/README.md b/deploy/gitea-runner/README.md index cced23d..e94ff07 100644 --- a/deploy/gitea-runner/README.md +++ b/deploy/gitea-runner/README.md @@ -1,7 +1,14 @@ # Gitea Actions Runner -1. In Gitea: **cluster-knaster → Einstellungen → Actions → Runner → Neuen Runner erstellen**. Token kopieren. Actions muss für das Repo aktiviert sein. -2. Auf dem Zielhost: `GITEA_RUNNER_REGISTRATION_TOKEN= docker compose up -d`. Alternativ als Portainer-Stack mit der Variablen. -3. In Gitea erscheint der Runner mit dem Label `ubuntu-latest`. Die CI (`.gitea/workflows/ci.yml`) läuft beim nächsten Push. +Auf dem Portainer-Host läuft bereits der Stack `gitrunner`. Das ist ein **Org-Runner**: Er bedient nur Repos der Organisation, nicht `rorapp/cluster-knaster`. -**Sicherheit:** Der Runner hat Zugriff auf den Docker-Socket des Hosts. Deshalb nur auf Repo-Ebene registrieren und keine Workflows aus fremden Forks ausführen. Vorgesehener Platz ist der Infra-LXC des Clusters. Bis der steht, ist ein Übergangshost möglich. +Dafür gibt es zwei Wege: +- **A:** Das Repo in die Organisation verschieben. Dann ist kein weiterer Runner nötig. +- **B:** Einen eigenen, ressourcenbegrenzten Runner auf Repo-Ebene betreiben, mit dem Stack in diesem Ordner. Er folgt dem gleichen Muster wie `gitrunner`: Swarm-Secret für den Token, Swarm-Config, `network: bridge`. + +Ablauf für B: +1. In Gitea **cluster-knaster → Einstellungen → Actions → Runner → Neuen Runner erstellen**. Actions muss für das Repo aktiviert sein. +2. Swarm-Secret `gitea-runner-knaster-token` mit dem Token und Swarm-Config `gitrunner_knaster_config_v1` aus `config.yaml` anlegen. +3. Stack `gitrunner-knaster` aus `docker-compose.yml` deployen. + +**Sicherheit:** Der Runner hat Zugriff auf den Docker-Socket des Hosts. Deshalb nur auf Repo-Ebene registrieren und keine Workflows aus fremden Forks ausführen. Langfristig zieht der Runner in den Infra-LXC des Clusters um. diff --git a/deploy/gitea-runner/config.yaml b/deploy/gitea-runner/config.yaml index 5876783..9dcef57 100644 --- a/deploy/gitea-runner/config.yaml +++ b/deploy/gitea-runner/config.yaml @@ -1,19 +1,20 @@ +# act_runner-Konfiguration für cluster-knaster (Swarm-Config gitrunner_knaster_config_v1) log: level: info runner: file: /data/.runner capacity: 1 # nur ein Job gleichzeitig timeout: 30m + fetch_timeout: 5s fetch_interval: 5s - labels: - - "ubuntu-latest:docker://catthehacker/ubuntu:act-22.04" cache: enabled: true dir: /data/cache container: + network: bridge # wie der Org-Runner: kein eigenes Netz pro Job (Swarm-Adresspools) privileged: false options: "--cpus=1 --memory=2g" # Grenze pro Job-Container - valid_volumes: [] + docker_host: "" force_pull: false host: workdir_parent: /data/workdir diff --git a/deploy/gitea-runner/docker-compose.yml b/deploy/gitea-runner/docker-compose.yml index 88f0b43..02ae21b 100644 --- a/deploy/gitea-runner/docker-compose.yml +++ b/deploy/gitea-runner/docker-compose.yml @@ -1,24 +1,42 @@ -# Gitea Actions Runner (act_runner) für cluster-knaster. -# Bewusst klein: 1 Job gleichzeitig, Job-Container auf 1 CPU / 2 GB begrenzt. -# Registrierung nur auf Repo-Ebene (cluster-knaster → Einstellungen → Actions → Runner → Token). -name: gitea-runner - +# Gitea Actions Runner (act_runner) für cluster-knaster als Swarm-Stack (Portainer). +# Gleiches Muster wie der vorhandene Stack "gitrunner": Token als Swarm-Secret, Konfiguration als Swarm-Config. +# Vorher anlegen: +# docker secret create gitea-runner-knaster-token +# docker config create gitrunner_knaster_config_v1 config.yaml services: - act-runner: - image: gitea/act_runner:0.2.11 - restart: unless-stopped + runner: + image: docker.io/gitea/act_runner:0.2.11 environment: - GITEA_INSTANCE_URL: ${GITEA_INSTANCE_URL:-https://gitea.mindboost.team} - GITEA_RUNNER_REGISTRATION_TOKEN: ${GITEA_RUNNER_REGISTRATION_TOKEN:?Registrierungs-Token fehlt} - GITEA_RUNNER_NAME: ${GITEA_RUNNER_NAME:-knaster-runner} CONFIG_FILE: /config.yaml + GITEA_INSTANCE_URL: ${GITEA_INSTANCE_URL:-https://gitea.mindboost.team} + GITEA_RUNNER_REGISTRATION_TOKEN_FILE: /run/secrets/gitea-runner-knaster-token + GITEA_RUNNER_NAME: ${GITEA_RUNNER_NAME:-knaster-runner-01} + GITEA_RUNNER_LABELS: ${GITEA_RUNNER_LABELS:-ubuntu-latest:docker://node:20-bookworm} + secrets: + - gitea-runner-knaster-token + configs: + - source: runner_config + target: /config.yaml volumes: - - ./config.yaml:/config.yaml:ro - - runner-data:/data + - runner_data_knaster:/data - /var/run/docker.sock:/var/run/docker.sock # startet die Job-Container auf diesem Host deploy: + mode: replicated + replicas: 1 + restart_policy: {condition: any, delay: 10s} + placement: + constraints: [node.role == manager] resources: limits: {cpus: "0.5", memory: 256M} +secrets: + gitea-runner-knaster-token: + external: true + +configs: + runner_config: + external: true + name: gitrunner_knaster_config_v1 + volumes: - runner-data: {} + runner_data_knaster: