awg-dash/docs/ci/RUNNER-CHECK-17-v2.md

Отчёт: Gitea Actions runner + CI-пайплайн embeddevio/awg-dash (v2)

Владелец: devops · Дата: 2026-10-28 · Refs #17, Refs #15 Ветка: feat/17-ci · Ветка проверки: feat/17-verify (= #17 + deploy/* из #18)

1. Итог

Runner, поднятый 28.10, фактически не работал: задачи забирались, но падали на создании контейнера, а результаты не фиксировались в Gitea. Причины найдены и устранены на build-хосте 192.168.1.147. Пайплайн ci.yml написан, закоммичен и прогнан на живом runner'е — все три гейта подтверждены реальными падениями jobs.

Осталось три внешних пункта, которые агент закрыть не может (нет SSH к 192.168.1.111, нет прав на merge): git-http дефект Gitea (#59), артефакты Gitea не публикуются, deploy/Dockerfile появится в main только после merge #18.

2. Что было сломано в runner'е и как исправлено

#	Симптом	Причина	Исправление
1	jobs вечно queued, runner_id: 0, логов нет	runner зарегистрирован instance-token'ом (gitea-runner-awg): задачи забирались, но результат не привязывался к репозиторию	зарегистрирован repo-scoped runner awg-dash-147-repo (repo registration token через API), online, id 2; legacy-контейнер остановлен
2	failed to create container: Duplicate mount point: /var/run/docker.sock	container.options монтировал сокет, а act_runner v0.6.1 монтирует его сам	options: "" + valid_volumes: ["/var/run/docker.sock"]
3	all predefined address pools have been fully subnetted	23 «висимых» сети GITEA-ACTIONS-* от прерванных job'ов вычерпали пул Docker	удалены все GITEA-ACTIONS-* с 0 контейнеров (31 → 8 сетей); container.network: "host" как профилактика
4	git clone в шаге checkout: bad pack header	дефект Gitea git-http (issue #59), не runner	в ci.yml — fallback на archive/<sha>.tar.gz (archive работает: 200, валидный tar)
5	trivy: install.sh + v0.57.1 → 404, tarball с github releases качается минутами	неверная версия в скрипте + медленная отдача github releases	trivy запускается официальным образом aquasec/trivy:0.76.1 через docker-сокет, БД кэшируется в /opt/trivy-cache

3. Итоговая конфигурация runner'а

контейнер : gitea-runner-awg-repo (docker.io/gitea/act_runner:latest v0.6.1), 192.168.1.147
область   : repo-scoped (embeddevio/awg-dash), runner id 2, online
label     : ubuntu-latest -> catthehacker/ubuntu:act-22.04
capacity  : 1 (maxParallel=1)
сеть job  : host, socket /var/run/docker.sock проброшен
toolcache : volume act-toolcache -> /opt/hostedtoolcache (Python 3.12.16 установлен один раз)
trivy     : образ aquasec/trivy:0.76.1 + БД-кэш /opt/trivy-cache
registry  : 192.168.1.111:3000 добавлен в insecure-registries на .147
            (применено `systemctl reload docker`, контейнеры не перезапускались)

4. Пайплайн .gitea/workflows/ci.yml

lint ─┬─ unit ───────┐
      │              ├─ build ── image-scan ── push (только push-событие)
      └─ security ───┘

Job	Команды	Гейт
lint	ruff check backend, ruff format --check backend, mypy backend	любая ошибка
unit	pytest --cov=awg_agent --cov=awg_api --cov-report=xml/html --cov-fail-under=70	coverage < 70 %
security	bandit -lll -r backend, pip-audit -r requirements.txt -r requirements-contract.txt	bandit HIGH, известные CVE в зависимостях
build	docker build --pull -f deploy/Dockerfile -t 192.168.1.111:3000/embeddevio/awg-dash:staging-<sha8>	ошибка сборки
image-scan	trivy image --severity HIGH,CRITICAL --ignore-unfixed --exit-code 1	HIGH/CRITICAL в образе
push	docker login + docker push ...:staging-<sha8>	ошибка авторизации/пуша

build/image-scan/push активируются только при наличии deploy/Dockerfile (output has_dockerfile из lint); до merge #18 они скипаются с предупреждением.

5. Прогоны на живом runner'е (доказательства по AC)

5.1 feat/17-ci (ветка от main, Dockerfile ещё нет) — run #39

http://192.168.1.111:3000/embeddevio/awg-dash/actions/runs/39

Job	Результат	Детали
lint	✅ success	ruff check/format + mypy strict
unit	✅ success	198 passed, coverage 96.80 % (порог ≥ 70 %)
security	✅ success	bandit: 0 HIGH, pip-audit: CVE не найдены
build / image-scan / push	⏭ skipped	нет deploy/Dockerfile (ждёт #18) — штатное поведение

5.2 feat/17-verify (= #17 + deploy/* из #18) — run #49

http://192.168.1.111:3000/embeddevio/awg-dash/actions/runs/49

Job	Результат	Детали
lint	✅ success
unit	✅ success	198 passed, coverage 96.80 %
security	✅ success
build	✅ success	образ 192.168.1.111:3000/embeddevio/awg-dash:staging-<sha8> собран на runner'е
image-scan	❌ failure	Total: 22 (HIGH: 21, CRITICAL: 1) — golang stdlib v1.25.14, golang.org/x/crypto — см. п. 6.1
push	⏭ skipped	fail-closed: при красном image-scan образ не публикуется

5.3 Негативные прогоны гейтов — ci/17-gate-negative (ветка-пробник, удалена)

Проверка	Run	Что в логе
покрытие < порога	#51 http://192.168.1.111:3000/embeddevio/awg-dash/actions/runs/51	FAIL Required test coverage of 99% not reached. Total coverage: 96.80% → job unit failure
HIGH-находка bandit	#55 http://192.168.1.111:3000/embeddevio/awg-dash/actions/runs/55	Issue: [B602 ...] Severity: High Confidence: High → job security failure, pipeline красный
HIGH/CRITICAL в образе	#49 (см. 5.2)	22 находки → image-scan failure

Вывод по AC: пуш в feat/* даёт jobs lint/unit/security/build; снижение покрытия ниже порога роняет job; HIGH-уязвимость (код или образ) роняет pipeline.

6. Открытые вопросы (эскалация)

6.1 Образ содержит 21 HIGH + 1 CRITICAL (нужен апгрейд сборки, #18)

Trivy по образу, собранному из deploy/Dockerfile (#18):

• stdlib Go v1.25.14 → CVE-2026-56857 (CRITICAL), CVE-2026-111943, CVE-2026-78667, CVE-2026-97031 (HIGH);
• golang.org/x/crypto v0.42.0 → CVE-2025-47913 (HIGH, fix в 0.43.0).

Причина: ARG GO_IMAGE=golang:1.25-alpine в deploy/Dockerfile. Гейт работает правильно — публикация образа заблокирована. Требуется бамп Go до ≥ 1.26.10 и golang.org/x/crypto ≥ 0.43.0 (владелец #18), после этого image-scan и push пойдут зелёными без правок CI.

6.2 Артефакты Gitea не публикуются

actions/upload-artifact@v3 отрабатывает без ошибок («Artifact has been successfully uploaded!», 173 КБ на coverage), но ни API (/actions/runs/<id>/artifacts, /actions/artifacts), ни UI артефактов не показывают (total_count: 0). upload-artifact@v4 зависает (job висел >6 мин на старте экшена, контейнер пришлось снять). Итог: содержимое артефактов в Gitea 1.26 + runner v0.6.1 не сохраняется — поэтому в шагах дополнительно печатается сводка в лог job (coverage-таблица, bandit-отчёт, trivy-таблица) — эти логи стабильны и доступны по ссылке run'а.

6.3 Git-http Gitea (issue #59)

Checkout штатным actions/checkout падает (bad pack header), работает только архивный fallback. Нужен доступ к хосту Gitea 192.168.1.111 (fsck/repack, проверка диска) — у агентов его нет.

6.4 Token для registry push

PAT агента не имеет write:package → 401 Unauthorized на POST /v2/.../blobs/uploads/ (проверено вручную на .147). В ci.yml логин берёт secrets.REGISTRY_TOKEN, если он задан, иначе secrets.GITHUB_TOKEN. Для гарантированного push нужен секрет REGISTRY_TOKEN (owner, PAT с write:package).

7. Эксплуатация

• Перезапуск run'а без коммита: POST /api/v1/repos/embeddevio/awg-dash/actions/runs/<id>/rerun.
• Ручной запуск: workflow_dispatch у ci.yml.
• Логи job'а: GET /api/v1/repos/embeddevio/awg-dash/actions/jobs/<job_id>/logs.
• Полный runbook: docs/ci/CI.md в ветке feat/17-ci.