ci: Workflow für node:20-bookworm-Runner, Runner-Stack im Swarm-Muster des bestehenden gitrunner

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -3,22 +3,19 @@ on:
   push:
   pull_request:
 
+# Läuft auf dem Runner-Label ubuntu-latest → node:20-bookworm (wie der bestehende Org-Runner).
+# Python kommt aus Debian bookworm (3.11), damit kein setup-python nötig ist.
 jobs:
   test:
     runs-on: ubuntu-latest
     steps:
       - uses: actions/checkout@v4
-      - uses: actions/setup-python@v5
+      - name: Python installieren
-        with:
+        run: |
-          python-version: "3.12"
+          apt-get update -qq
+          apt-get install -y -qq --no-install-recommends python3 python3-venv make >/dev/null
+          python3 --version
       - run: make dev
       - run: make lint
       - run: make test
       - run: make validate
-
-  compose:
-    runs-on: ubuntu-latest
-    continue-on-error: true   # braucht Docker Compose v2.24+ auf dem Runner
-    steps:
-      - uses: actions/checkout@v4
-      - run: make compose-check

deploy/gitea-runner/README.md

@@ -1,7 +1,14 @@
 # Gitea Actions Runner
 
-1. In Gitea: **cluster-knaster → Einstellungen → Actions → Runner → Neuen Runner erstellen**. Token kopieren. Actions muss für das Repo aktiviert sein.
+Auf dem Portainer-Host läuft bereits der Stack `gitrunner`. Das ist ein **Org-Runner**: Er bedient nur Repos der Organisation, nicht `rorapp/cluster-knaster`.
-2. Auf dem Zielhost: `GITEA_RUNNER_REGISTRATION_TOKEN=<token> docker compose up -d`. Alternativ als Portainer-Stack mit der Variablen.
-3. In Gitea erscheint der Runner mit dem Label `ubuntu-latest`. Die CI (`.gitea/workflows/ci.yml`) läuft beim nächsten Push.
 
-**Sicherheit:** Der Runner hat Zugriff auf den Docker-Socket des Hosts. Deshalb nur auf Repo-Ebene registrieren und keine Workflows aus fremden Forks ausführen. Vorgesehener Platz ist der Infra-LXC des Clusters. Bis der steht, ist ein Übergangshost möglich.
+Dafür gibt es zwei Wege:
+- **A:** Das Repo in die Organisation verschieben. Dann ist kein weiterer Runner nötig.
+- **B:** Einen eigenen, ressourcenbegrenzten Runner auf Repo-Ebene betreiben, mit dem Stack in diesem Ordner. Er folgt dem gleichen Muster wie `gitrunner`: Swarm-Secret für den Token, Swarm-Config, `network: bridge`.
+
+Ablauf für B:
+1. In Gitea **cluster-knaster → Einstellungen → Actions → Runner → Neuen Runner erstellen**. Actions muss für das Repo aktiviert sein.
+2. Swarm-Secret `gitea-runner-knaster-token` mit dem Token und Swarm-Config `gitrunner_knaster_config_v1` aus `config.yaml` anlegen.
+3. Stack `gitrunner-knaster` aus `docker-compose.yml` deployen.
+
+**Sicherheit:** Der Runner hat Zugriff auf den Docker-Socket des Hosts. Deshalb nur auf Repo-Ebene registrieren und keine Workflows aus fremden Forks ausführen. Langfristig zieht der Runner in den Infra-LXC des Clusters um.

deploy/gitea-runner/config.yaml

@@ -1,19 +1,20 @@
+# act_runner-Konfiguration für cluster-knaster (Swarm-Config gitrunner_knaster_config_v1)
 log:
   level: info
 runner:
   file: /data/.runner
   capacity: 1                 # nur ein Job gleichzeitig
   timeout: 30m
+  fetch_timeout: 5s
   fetch_interval: 5s
-  labels:
-    - "ubuntu-latest:docker://catthehacker/ubuntu:act-22.04"
 cache:
   enabled: true
   dir: /data/cache
 container:
+  network: bridge             # wie der Org-Runner: kein eigenes Netz pro Job (Swarm-Adresspools)
   privileged: false
   options: "--cpus=1 --memory=2g"   # Grenze pro Job-Container
-  valid_volumes: []
+  docker_host: ""
   force_pull: false
 host:
   workdir_parent: /data/workdir

deploy/gitea-runner/docker-compose.yml

@@ -1,24 +1,42 @@
-# Gitea Actions Runner (act_runner) für cluster-knaster.
+# Gitea Actions Runner (act_runner) für cluster-knaster als Swarm-Stack (Portainer).
-# Bewusst klein: 1 Job gleichzeitig, Job-Container auf 1 CPU / 2 GB begrenzt.
+# Gleiches Muster wie der vorhandene Stack "gitrunner": Token als Swarm-Secret, Konfiguration als Swarm-Config.
-# Registrierung nur auf Repo-Ebene (cluster-knaster → Einstellungen → Actions → Runner → Token).
+# Vorher anlegen:
-name: gitea-runner
+#   docker secret create gitea-runner-knaster-token <datei-mit-token>
-
+#   docker config create gitrunner_knaster_config_v1 config.yaml
 services:
-  act-runner:
+  runner:
-    image: gitea/act_runner:0.2.11
+    image: docker.io/gitea/act_runner:0.2.11
-    restart: unless-stopped
     environment:
-      GITEA_INSTANCE_URL: ${GITEA_INSTANCE_URL:-https://gitea.mindboost.team}
-      GITEA_RUNNER_REGISTRATION_TOKEN: ${GITEA_RUNNER_REGISTRATION_TOKEN:?Registrierungs-Token fehlt}
-      GITEA_RUNNER_NAME: ${GITEA_RUNNER_NAME:-knaster-runner}
       CONFIG_FILE: /config.yaml
+      GITEA_INSTANCE_URL: ${GITEA_INSTANCE_URL:-https://gitea.mindboost.team}
+      GITEA_RUNNER_REGISTRATION_TOKEN_FILE: /run/secrets/gitea-runner-knaster-token
+      GITEA_RUNNER_NAME: ${GITEA_RUNNER_NAME:-knaster-runner-01}
+      GITEA_RUNNER_LABELS: ${GITEA_RUNNER_LABELS:-ubuntu-latest:docker://node:20-bookworm}
+    secrets:
+      - gitea-runner-knaster-token
+    configs:
+      - source: runner_config
+        target: /config.yaml
     volumes:
-      - ./config.yaml:/config.yaml:ro
+      - runner_data_knaster:/data
-      - runner-data:/data
       - /var/run/docker.sock:/var/run/docker.sock   # startet die Job-Container auf diesem Host
     deploy:
+      mode: replicated
+      replicas: 1
+      restart_policy: {condition: any, delay: 10s}
+      placement:
+        constraints: [node.role == manager]
       resources:
         limits: {cpus: "0.5", memory: 256M}
 
+secrets:
+  gitea-runner-knaster-token:
+    external: true
+
+configs:
+  runner_config:
+    external: true
+    name: gitrunner_knaster_config_v1
+
 volumes:
-  runner-data: {}
+  runner_data_knaster: