c6aa75ba39
- .forgejo/workflows/ci.yml : build + test cargo (workspace), build npm (app/) sur toute PR/push ; déploiement (main uniquement) : build release, scp + redémarrage systemd sur tripoli-edge et tripoli-api. - Runner Forgejo Actions déployé en systemd (aucun n'existait avant) : socket Docker de l'hôte partagé avec les conteneurs de job plutôt qu'un docker:dind imbriqué et privilégié - plus léger sur une machine déjà partagée. - Déploiement via un compte système "deploy" sans privilège : peut seulement déposer un binaire dans /opt/deploy-staging et lancer un script sudo dédié qui n'accepte que "tripoli-edge" ou "tripoli-api" comme argument. Aucune clé root dans le pipeline. Clé SSH de déploiement générée sur le serveur, jamais passée par cette conversation - stockée directement comme secret Forgejo Actions par l'utilisateur. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
24 lines
748 B
Desktop File
24 lines
748 B
Desktop File
[Unit]
|
|
Description=forgejo-runner - runner Forgejo Actions pour tripoli.cloud
|
|
After=docker.service
|
|
Requires=docker.service
|
|
|
|
[Service]
|
|
Type=simple
|
|
Restart=on-failure
|
|
RestartSec=5
|
|
# --group-add : le gid du groupe "docker" sur l'hôte (docker.sock lui
|
|
# appartient) - sans ça, le processus (uid 1001, sans privilège) n'a
|
|
# pas le droit de s'en servir, même monté dans le conteneur.
|
|
ExecStart=/usr/bin/docker run --rm \
|
|
--name forgejo-runner \
|
|
--user 1001:1001 \
|
|
--group-add 983 \
|
|
-v /opt/forgejo-runner/data:/data \
|
|
-v /var/run/docker.sock:/var/run/docker.sock \
|
|
code.forgejo.org/forgejo/runner:13.1 \
|
|
forgejo-runner daemon --config /data/config.yml
|
|
ExecStop=/usr/bin/docker stop forgejo-runner
|
|
|
|
[Install]
|
|
WantedBy=multi-user.target
|