HSE/tgit

Fork 0

Files

T

ElebobaandClaude Opus 5.5 c443190bf4

CI / ruff · mypy · pytest (pull_request) Successful in 4m3s

Details

feat(runner): tgit-runner — сервисы в песочнице на хосте, деплой после push (#13 )

- infra/runner/tgit-runner: deploy/restart/remove/list по SSH forced command;
  аргументы не исполняются и не глобятся; архив — только файлы и папки,
  без «..», ≤ 20 МБ, есть main.py; health_url — только localhost
- песочница: uid 10001, read-only, tmpfs noexec, cap-drop ALL,
  no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 PID, --network none
  (сеть — только по egress-allow админа), лимит 10 сервисов, 2 образа
- новая версия стартует рядом (-next) и заменяет старую, только став
  healthy; иначе удаляется, старая работает, exit 3
- бот: после push git archive изменённых services/<name>/ → runner;
  автору — «🚀 работает» или «⛔ не развёрнут» с логом, команде — алерт ⛔;
  удалённая папка → remove; «♻️ Перезапустить» в «Статусе» для админа (S-5)
- examples/escape_attempts: все попытки выбраться — BLOCKED на живом Docker
- install.sh, authorized_keys.example; CD бота обновляет runner на хосте

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-10-18 15:36:29 +03:00

2.8 KiB

Raw Blame History

infra/runner — `tgit-runner`

Запуск сервисов из репозитория загрузок (services/<name>/) на хосте в песочнице — ADR-005, ADR-006, ARCHITECTURE §4.

бот: push ─► git archive <sha>:services/<name> ─► ssh tgit-deploy@host deploy <name> <sha>  (архив — в stdin)
                                                    │ forced command: только tgit-runner
host: tgit-runner ─► проверка аргументов и архива ─► docker build ─► docker run …-next (песочница)
                  ─► healthy за 60 с? ─► да: заменить старый контейнер · нет: удалить новый, старый работает, exit 3

Команда	Что делает
`deploy <service> <sha>`	собрать образ `tgit-svc-<service>:<sha>` и запустить, старый заменяется только здоровым новым
`restart <service>`	перезапуск (кнопка «♻️ Перезапустить» в «Статусе», только админ)
`remove <service>`	сервис удалён из репозитория — остановить и удалить образы
`list`	контейнеры сервисов

Песочница: uid 10001, read-only FS, /tmp — tmpfs 16 МБ с noexec, --cap-drop ALL, no-new-privileges, 128 МБ без swap, 0.25 CPU, 64 процесса, --network none (интернет — только если network: true в tgit.yaml и имя сервиса есть в /srv/tgit/runner/egress-allow), без Docker-сокета, --restart on-failure:3, ротация логов. Не больше 10 сервисов на хост; хранятся два последних образа сервиса.

Проверено examples/escape_attempts: запись в код и /etc, сеть, DNS, docker.sock, setuid(0), raw-сокет, 200 процессов, запуск из /tmp — всё BLOCKED.

Установка (один раз, root на хосте):

ssh-keygen -t ed25519 -N '' -C tgit-runner -f tgit-runner-key      # ключ бота для раннера
sudo infra/runner/install.sh tgit-runner-key.pub tgit-deploy
# в .env бота на сервере:
#   RUNNER_HOST=host.docker.internal   RUNNER_SSH_KEY_B64=$(base64 -w0 tgit-runner-key)

Дальше скрипт обновляется сам: деплой бота (infra/deploy/remote.sh) копирует свежий tgit-runner, если раннер установлен. Тесты — tests/runner/ (фейковые docker и ssh, сам скрипт настоящий).

2.8 KiB Raw Blame History Unescape Escape

infra/runner — tgit-runner

2.8 KiB

Raw Blame History

infra/runner — `tgit-runner`