panxiao81/homelab-infra
1
0
Fork 0
Code Issues 10 Pull Requests Actions Packages Projects Releases Wiki Activity

接入 OpenSandbox 动态 Runner #101

Merged
panxiao81 merged 1 commits from feat/opensandbox-runner-integration into main 2026-09-18 18:45:25 +00:00
Conversation 0 Commits 1 Files Changed 18
+626 -84
panxiao81 commented 2026-09-18 18:33:54 +00:00
Owner
Copy Link
Copy Source

内容

  • homelab controller 通过 ExternalSecret 读取 kv/k8s/opensandbox-api:api_key，直接调用 Lifecycle API，移除运行中的 NATS worker
  • VyOS 新增内网 10.60.0.13:8080 frontend，转发 sandbox NodePort 30080，不经过公网或 Cloudflare Tunnel
  • 新增 ci-vm 与 ci-pod Pool；VM 使用 kata-clh-runtime-rs，两者均为零预热、单任务删除
  • sandbox 内 identity controller 按 allocation Pod UID 创建/清理精确 ClusterStaticEntry
  • guest-local SPIRE Agent 使用 sandbox-kata PSAT；registration token 仅通过单次 nonce URL 投递
  • controller/runner 均固定到 Zot digest，补充中文部署与清理 runbook

所有权边界

  • 不修改 sandbox 平台侧 ExternalSecret、ClusterSecretStore 或 OpenBao Terraform/policy
  • 不复制 API key、不提交明文、不创建静态 Bao token
  • homelab 与 sandbox 继续用各自身份读取同一 Bao 资源

已完成验证

  • runner 源码 PR #24、#25 全部 CI 通过并合并
  • runner 单测 20 passed，shellcheck 通过
  • 真实 key：无认证 401、ESO key 200（未输出 key）
  • YAML 全量解析、yamllint、Jinja 解析、git diff --check 通过
  • 对照线上 SPIRE entry 修正 Pod UID parentID 格式

合并后集成验收

必须完成 ci-vm Lifecycle create、Kata Pod UID、SPIFFE entry、临时 runner 注册、真实任务成功，以及 BatchSandbox/Pod/entry/runner 全量清理；未通过则继续修复，不视为完成。

关联 #94。

## 内容 - homelab controller 通过 ExternalSecret 读取 `kv/k8s/opensandbox-api:api_key`，直接调用 Lifecycle API，移除运行中的 NATS worker - VyOS 新增内网 `10.60.0.13:8080` frontend，转发 sandbox NodePort `30080`，不经过公网或 Cloudflare Tunnel - 新增 `ci-vm` 与 `ci-pod` Pool；VM 使用 `kata-clh-runtime-rs`，两者均为零预热、单任务删除 - sandbox 内 identity controller 按 allocation Pod UID 创建/清理精确 ClusterStaticEntry - guest-local SPIRE Agent 使用 sandbox-kata PSAT；registration token 仅通过单次 nonce URL 投递 - controller/runner 均固定到 Zot digest，补充中文部署与清理 runbook ## 所有权边界 - 不修改 sandbox 平台侧 ExternalSecret、ClusterSecretStore 或 OpenBao Terraform/policy - 不复制 API key、不提交明文、不创建静态 Bao token - homelab 与 sandbox 继续用各自身份读取同一 Bao 资源 ## 已完成验证 - runner 源码 PR #24、#25 全部 CI 通过并合并 - runner 单测 20 passed，shellcheck 通过 - 真实 key：无认证 401、ESO key 200（未输出 key） - YAML 全量解析、yamllint、Jinja 解析、git diff --check 通过 - 对照线上 SPIRE entry 修正 Pod UID parentID 格式 ## 合并后集成验收 必须完成 `ci-vm` Lifecycle create、Kata Pod UID、SPIFFE entry、临时 runner 注册、真实任务成功，以及 BatchSandbox/Pod/entry/runner 全量清理；未通过则继续修复，不视为完成。 关联 #94。
panxiao81 added 1 commit 2026-09-18 18:33:56 +00:00
接入 OpenSandbox 动态 Runner
ansible / collection-test (pull_request) Successful in 2m58s
Details
ansible / lint (pull_request) Successful in 4m33s
Details
yaml / yaml (pull_request) Successful in 29s
Details
6eb4875db6
panxiao81 merged commit ec3ce94e12 into main 2026-09-18 18:45:25 +00:00
panxiao81 deleted branch feat/opensandbox-runner-integration 2026-09-18 18:45:25 +00:00
Sign in to join this conversation.
Reviewers
No Reviewers
Labels
No items
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
panxiao81 (Xiao Pan)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: panxiao81/homelab-infra#101