fix: preserve split NATS permissions

2026-09-20 20:41:16 +00:00
parent 9f1181a536
commit bca8096491
3 changed files with 43 additions and 23 deletions
@@ -60,7 +60,8 @@ credential 都从挂载文件读取，不接受明文环境变量：

 - `GITEA_RUNNER_UUID_FILE`、`GITEA_RUNNER_TOKEN_FILE`：scheduler 的常驻 RunnerService
  registration；该 credential 不下发给 executor。
- `NATS_PASSWORD_FILE`：assignment stream 的连接密码。
+- `NATS_PRODUCER_PASSWORD_FILE`、`NATS_WORKER_PASSWORD_FILE`：分别使用现有最小权限的
+  `ci-producer` publish 连接和 `ci-worker` pull/ACK 连接，controller 不合并权限。
 - `RUNNER_FACADE_CAPABILITY_KEY_FILE`：至少 32 字节的 controller HMAC key。
 - `OPENSANDBOX_API_KEY_FILE`：仅启用 `vm-worker` 时读取。