固定 workflow job key 身份契约

2026-09-20 17:59:59 +00:00
parent 3c1fca1832
commit 3f336310af
6 changed files with 82 additions and 25 deletions
@@ -27,8 +27,10 @@ dynamic-runner scheduler
 - 对 workflow 的接口保持 `[self-hosted, pod]` 和 `[self-hosted, vm]` 不变。
 - scheduler 在没有对应 backend 容量时不领取 task，避免本地形成不可控积压。
 - 每个 executor 只执行一个 task，完成后销毁。
- SPIFFE 身份从实际领取的 task 的 repository 和 job name 派生，不需要 queued 与
+- SPIFFE 身份从实际领取的 task 的 repository 和 workflow job key 派生，不需要 queued 与
  in-progress webhook 的二阶段关联。
+- 身份中的 task 段使用 workflow job key，而不是可带空格的展示名称；job key 必须满足
+  `[A-Za-z_][A-Za-z0-9_-]*`。slug + hash 只保留为旧名称的显式迁移后备方案。
 - scheduler 只做确定性的身份派生与 executor 绑定，不维护业务授权 policy；Zot、
  OpenBao 等资源服务继续是唯一授权决策点。
 - scheduler 的 runner registration credential 不进入 executor；executor 只得到执行