ci(tag): déclenche Renovate sur tf-depl-kubernetes dès que l'image de release est poussée (opencode-openchamber) #62

2026-10-18T13:22:17-04:00

opencodecabilloteu commented

2026-10-18 13:22:17 -04:00

Problème

Quand ce repo tague une release, l'image jcabillot/opencode-openchamber part sur Docker Hub, mais le bump d'image dans perso_private/tf-depl-kubernetes attend le prochain passage horaire de Renovate (CronJob K8s, schedule 12 * * * *) : jusqu'à ~60 min de latence entre le tag et la PR de bump.

Changement

Un job trigger-renovate en fin de .gitea/workflows/tag.yaml : dès que le job build-push (image jcabillot/opencode-openchamber) est terminé, il déclenche le workflow Renovate de perso_private/tf-depl-kubernetes via l'API Gitea (workflow_dispatch, déjà activé dans ce repo).

needs: [build-push] : Renovate doit scanner après que l'image existe sur Docker Hub, sinon le scan lit la release précédente et ne propose rien.
Auth : secret d'org RENOVATE_TOKEN de l'org perso — le token du bot Renovate, déjà en place, aucun nouveau credential.
Échec bruyant (pas de continue-on-error) : un token cassé doit se voir, pas se taire.

Même mécanisme que web/mydl (PR #420), validé de bout en bout sur la release v0.0.222 (dispatch → PR de bump à jour en 80 s).

Portée

Aucun impact sur l'image de release ni sur les jobs existants : le nouveau job ne fait qu'un appel HTTP après le push.

## Problème Quand ce repo tague une release, l'image `jcabillot/opencode-openchamber` part sur Docker Hub, mais le bump d'image dans `perso_private/tf-depl-kubernetes` attend le prochain passage horaire de Renovate (CronJob K8s, schedule `12 * * * *`) : jusqu'à **~60 min** de latence entre le tag et la PR de bump. ## Changement Un job `trigger-renovate` en fin de `.gitea/workflows/tag.yaml` : dès que le job `build-push` (image `jcabillot/opencode-openchamber`) est terminé, il déclenche le workflow Renovate de `perso_private/tf-depl-kubernetes` via l'API Gitea (`workflow_dispatch`, déjà activé dans ce repo). - `needs: [build-push]` : Renovate doit scanner **après** que l'image existe sur Docker Hub, sinon le scan lit la release précédente et ne propose rien. - Auth : secret d'org `RENOVATE_TOKEN` de l'org `perso` — le token du bot Renovate, déjà en place, aucun nouveau credential. - Échec **bruyant** (pas de `continue-on-error`) : un token cassé doit se voir, pas se taire. Même mécanisme que `web/mydl` (PR #420), validé de bout en bout sur la release v0.0.222 (dispatch → PR de bump à jour en 80 s). ## Portée Aucun impact sur l'image de release ni sur les jobs existants : le nouveau job ne fait qu'un appel HTTP après le push.

opencodecabilloteu added 1 commit 2026-10-18 13:22:17 -04:00

ci(tag): dispatch Renovate on tf-depl-kubernetes once the release image is pushed

CI Shared Jobs / hadolint (pull_request) Successful in 20s

Details

CI Shared Jobs / build-test (pull_request) Successful in 7m29s

Details

PR Checks / ci (pull_request) Successful in 7m50s

Details

a675a9bbf4

A release only reached perso_private/tf-depl-kubernetes on the next hourly
Renovate scan, so the image bump PR could lag up to an hour behind the tag.

After the image push completes, dispatch that repo's Renovate workflow through
the Gitea API (workflow_dispatch is already enabled there). It authenticates
with the RENOVATE_TOKEN org secret of this organisation — the same token the
Renovate instance itself uses, no extra credential. The job fails loudly so a
rotated token shows up instead of the trigger silently going missing.

opencodecabilloteu requested review from jcabillot 2026-10-18 13:22:25 -04:00

jcabillot merged commit df007ca514 into main

2026-10-18 13:43:32 -04:00

jcabillot deleted branch ci/renovate-dispatch-on-release

2026-10-18 13:43:38 -04:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: perso/opencode-openchamber#62