byrsapty
ed8fc831bf
Один коміт, а не десяток тематичних, свідомо: теми переплетені в
спільних файлах (store.go, docker-compose.yml, deploy/README.md), і
розділити їх можна було б лише індексуванням шматків. Коміти, які не
збираються, гірші за один великий — тим паче що це рівно той стан, який
перевірявся разом.
ЩО ПРАЦЮЄ НА СТЕНДІ Й ПЕРЕВІРЕНО ТАМ
0058 подієві алерти: syslog, ncm, compliance спрацьовують у мить
події; правило з нереалізованим джерелом більше не зберігається
мовчки
0059 snmp.walk і прототипи шаблонів — таблиці з динамічним індексом
описуються шаблоном, а не Go
0060 відкат конфігу: план як різниця, маскування паролів із підписом
плану, обов'язковий контрольний збір, verifying при обриві
0061 кнопки Telegram: довге опитування, авторизація не з callback_data
0062 аудит і архів хостів; тест на AST, що падає на ключі без назви
0063 RLS: три ролі, окремий пул для фонових тактів
0064 строки зберігання даних і сторінка сховища
0065 приймач SNMP-трапів; перевірено справжніми пакетами по дроту,
переклад v1→v2 за RFC 3584 дає правильний OID
0066 ескалації сповіщень
0067 алерт про вичерпання диска
0068 поля заливки конфігу переїхали в каталог профілів
Плюс: 137 тестів вебу з нуля (їх не було взагалі), одинадцять справжніх
вад, знайдених ними й виправлених, і виправлення двох інтеграційних
тестів grpcapi, які мовчки пропускались півтора року.
ЩО ЩЕ НЕ ЗАПУСКАЛОСЬ
netpulse установник: одна команда замість 18 змінних і
593 рядків інструкції
RLS з першого запуску нова інсталяція під політиками одразу;
RLS-EXISTING-INSTALL.md лишається тільки для
старих інсталяцій
.forgejo + CI раннер не зареєстрований
Ці три перевірені компіляцією й міркуванням, але не виконанням.
ГОЛОВНИЙ ВИСНОВОК ДВОХ СЕСІЙ
Зелена перевірка доводить рівно те, що вона перевіряє. Тест ізоляції RLS
був правильний і зелений — і пропустив зламаний вхід, бо перевіряв «чи
не видно чужого», коли зламалось «чи видно своє». Інтеграційні тести
grpcapi були зелені, бо не виконувались. Схема, довідник і протокол
описували те, чого в коді не існувало, і виглядало це як готове.
Тому в кожному завданні цих сесій стояла вимога назвати НЕПОКРИТЕ, а
чотири задачі закінчились не можливістю, а відмовою: правило з
нереалізованим джерелом не зберігається, профіль без команд заливки
каже про це замість мовчазної кнопки, міграція RLS валить сама себе на
таблиці без політики, тест словника аудиту падає на ключі без назви.
Подробиці — HISTORY.md, розділи за 26 і 27 серпня.
104 lines
6.2 KiB
YAML
104 lines
6.2 KiB
YAML
# Налаштування раннера Forgejo Actions для NetPulse.
|
||
#
|
||
# Читається демоном як `forgejo-runner daemon --config`. Підключається
|
||
# у deploy/docker-compose.ci.yml.
|
||
#
|
||
# Головне, заради чого цей файл узагалі існує, — два рядки:
|
||
# `capacity: 1` і `valid_volumes`. Решта — замовчування з поясненням,
|
||
# чому їх не змінено.
|
||
|
||
log:
|
||
level: info
|
||
|
||
runner:
|
||
# Файл реєстрації. Лежить в іменованому томі, тобто переживає
|
||
# перестворення контейнера: реєструватись заново після кожного
|
||
# `docker compose pull` не треба.
|
||
file: /data/.runner
|
||
|
||
# ОДНА робота за раз. Не «щоб було просто», а тому що на цій машині
|
||
# 4 ГБ памʼяті й на ній же живе бойовий стек. Дві паралельні роботи —
|
||
# це `go build` і `vite build` одночасно, тобто ядро вибирає, кого
|
||
# вбити, і вибір робить не на нашу користь. CI, який кладе продукт,
|
||
# гірший за відсутній CI.
|
||
capacity: 1
|
||
|
||
# Стеля на роботу. Довший прогін означає, що щось зависло (мережа до
|
||
# реєстру образів, база, яка не піднялась), а не що збірка велика:
|
||
# найдовша робота тут — server, і вона вкладається в десяток хвилин.
|
||
timeout: 1h
|
||
|
||
# Пауза між опитуваннями Forgejo. Дві секунди — замовчування; частіше
|
||
# немає сенсу, рідше — довше чекати відповіді на пуш.
|
||
fetch_timeout: 5s
|
||
fetch_interval: 2s
|
||
|
||
# Мітки визначають, що можна писати в `runs-on`. Усі роботи в
|
||
# .forgejo/workflows/ci.yml пишуть `runs-on: docker` і задають свій
|
||
# образ через `container:`, тож образ у мітці — лише запасний варіант
|
||
# для робіт без `container`. node:22-alpine узято тому, що це єдиний
|
||
# із наших образів, у якому є node: якщо колись зʼявиться робота з
|
||
# JS-дією, вона хоча б стартує.
|
||
#
|
||
# УВАГА: мітки з цього файлу застосовуються при РЕЄСТРАЦІЇ. Якщо
|
||
# раннер уже зареєстровано, зміна цього списку нічого не змінить,
|
||
# доки не перереєструвати (див. deploy/docker-compose.ci.yml).
|
||
labels:
|
||
- "docker:docker://node:22-alpine"
|
||
|
||
cache:
|
||
# Вбудований кеш-сервер вимкнено НАВМИСНО.
|
||
#
|
||
# Він потрібен лише для actions/cache, а її тут немає: кеші Go й npm
|
||
# їдуть іменованими томами (див. valid_volumes). Різниця не в смаку —
|
||
# у диску. Кеш-сервер тримає вміст ЩЕ РАЗ, у вигляді tar-архівів
|
||
# поруч, і пакує/розпаковує їх на кожному прогоні. На машині з ~7 ГБ
|
||
# вільного це друга копія того самого й зайві хвилини на прогін.
|
||
enabled: false
|
||
|
||
container:
|
||
# Порожньо — act створює власну мережу під кожну роботу. Саме завдяки
|
||
# їй контейнер роботи бачить сервіс `db` за іменем `db`.
|
||
network: ""
|
||
|
||
# Docker-in-Docker не потрібен: ми нічого не збираємо в образи.
|
||
privileged: false
|
||
|
||
# Стеля памʼяті й ядер на КОНТЕЙНЕР РОБОТИ.
|
||
#
|
||
# Це свідомий вибір, кому вмирати першим. Без стелі найбільший
|
||
# споживач памʼяті на машині — компілятор Go — і ядро при нестачі
|
||
# вбиває не його, а те, що поруч, тобто API або базу стенду. Зі
|
||
# стелею перевищення вбиває саму роботу: CI червоніє, продукт живий.
|
||
# Червоний CI видно й можна полагодити; перезапущений уночі API —
|
||
# ні.
|
||
#
|
||
# --cpus=2 заразом задає GOMAXPROCS: Go 1.25 читає обмеження cgroup
|
||
# сам, окремо його виставляти не треба.
|
||
options: "--memory=1600m --cpus=2"
|
||
|
||
# Батьківський каталог робочих каталогів.
|
||
workdir_parent: workspace
|
||
|
||
# Томи, які роботам дозволено монтувати. Порожній список означає
|
||
# «жодних», і тоді .forgejo/workflows/ci.yml не запуститься взагалі:
|
||
# там кожна робота монтує свій кеш.
|
||
#
|
||
# Перелічено поіменно, а не '**': раннер ходить у докер із правами
|
||
# root, і дозвіл монтувати будь-що перетворює будь-який workflow із
|
||
# будь-якої гілки на доступ до всього диска машини — включно з
|
||
# даними бойової бази.
|
||
valid_volumes:
|
||
- netpulse-ci-gomod
|
||
- netpulse-ci-gobuild
|
||
- netpulse-ci-npm
|
||
|
||
# Порожньо — береться DOCKER_HOST із оточення (сокет, прокинутий у
|
||
# compose).
|
||
docker_host: ""
|
||
|
||
# Не тягнути образ, якщо він уже є. Образи тут прибиті до версій
|
||
# (alpine:3.21, golang:1.25-alpine, node:22-alpine, timescaledb з
|
||
# тим самим тегом, що в бойовому compose), тож перевіряти реєстр на
|
||
# кожному прогоні — зайвий трафік і зайва точка відмови.
|
||
force_pull: false
|