Container Registry#

マージが完了したときにデプロイするWorkflowです。

name: Deploy to Container Registry
on:
  pull_request:
    types: [closed]

jobs:
  deploy:
    name: Deploy to Container Registry
    runs-on: ubuntu-20.04
    if: github.event.pull_request.merged == true
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          ref: ${{ github.event.pull_request.merge_commit_sha }}
      - name: Log in to GitHub Container Registry
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}
      - name: Cache Docker layers
        uses: actions/cache@v4
        with:
          path: /tmp/.buildx-cache
          key: ${{ github.ref }}-${{ github.sha }}
          restore-keys: |
            ${{ github.ref }}-${{ github.sha }}
            ${{ github.ref }}
            refs/head/main
      - name: Set up Docker Buildx
        id: buildx
        uses: docker/setup-buildx-action@v3
      - name: Get Version
        id: current_version
        run: |
          echo "version=$(cat package.json | jq -r '.version')" >> $GITHUB_OUTPUT
      - name: Create tag
        id: current_time
        run: echo "date=$(date +'%Y%m%d')" >> $GITHUB_OUTPUT
      - name: Build and Push Docker Image
        id: docker_build
        uses: docker/build-push-action@v6
        with:
          context: ./
          file: ./Dockerfile
          builder: ${{ steps.buildx.outputs.name }}
          platforms: linux/amd64,linux/arm64
          push: true
          tags: |
            ghcr.io/${{ github.repository }}:${{ steps.current_version.outputs.version }}
            ghcr.io/${{ github.repository }}:${{ steps.current_time.outputs.date }}
            ghcr.io/${{ github.repository }}:latest
          cache-from: type=local,src=/tmp/.buildx-cache
          cache-to: type=local,dest=/tmp/.buildx-cache

キャッシュを有効にしていますが、どのくらい効果があるのかは謎です。

NodeJSを前提としているのでバージョンをpackage.jsonから取得していますが、Pythonの場合はpoetryなどを利用してください。

Package Registry#

Release#

actions/create-release@v1とかが既にアーカイブになっているのでちょっと不安になります。

ファイル名などをハードコードで指定しているのでそのままは使えないのですが、大体以下のような感じで書けばいけます。

name: Deploy to Release
on:
  pull_request:
    types: [closed]

jobs:
  deploy:
    name: Deploy
    runs-on: ubuntu-20.04
    if: github.event.pull_request.merged == true
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          ref: ${{ github.event.pull_request.merge_commit_sha }}
      - name: Install
        if: ${{ github.event.head.user.login == 'act' }}
        run: |
          apt-get update
          apt-get install -y unzip zip jq
      - name: Bun
        uses: oven-sh/setup-bun@v2
        with:
          bun-version: latest
      - name: Install and Build
        run: |
          bun install --frozen-lockfile --ignore-scripts
          bun run build
      - name: Create ZIP
        run: |
          mkdir -p output
          zip -r output/artifacts.zip dist/
      - name: Get Version
        id: current_version
        run: |
          echo "version=v$(cat package.json | jq -r '.version')" >> $GITHUB_OUTPUT
      - name: Create Release
        id: create_release
        uses: actions/create-release@v1
        with:
          tag_name: ${{ steps.current_version.outputs.version }}
          release_name: ${{ steps.current_version.outputs.version }}
          draft: false
          prerelease: false
          target_commitish: ${{ github.event.repository.default_branch }}
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - name: Upload Release
        uses: actions/upload-release-asset@v1
        with:
          upload_url: ${{ steps.create_release.outputs.upload_url }}
          asset_path: output/artifacts.zip
          asset_name: citrus_bluesky_plugin_${{ steps.current_version.outputs.version }}.zip
          asset_content_type: application/zip

GitHubへの登録#

作成されたGPGキーを表示するには以下のコマンドを利用します。

$ gpg --list-keys --keyid-format LONG
[keyboxd]
---------
pub   rsa4096/C9DE991D1A522478 2024-08-30 [SC]
      1008E76264870ED5722268A7C9DE991D1A522478
uid                 [ultimate] tkgstrator <[email protected]>
sub   rsa4096/73B215945D81D247 2024-08-30 [E]

[ultimate]と表示されている必要があります

このときGPG KEY ID=C9DE991D1A522478になります。

1008E76264870ED5722268A7C9DE991D1A522478ではないので注意しましょう。この値はどこでも使うことがないです。

gpg --armor --export <GPG KEY ID> 

とすると、公開鍵が出力されます。

表示される値をSSH and GPG keysから登録しましょう。

ちゃんと登録できればGitHub上でKey ID: XXXXXXXXXXXXXXXXのような感じで入力した値がそのまま反映されていると思います。

これでGitHub上での操作は終わりです。

Keychainにパスフレーズを保存する#

このままだと毎回パスフレーズを入力させられてめんどうなので、Keychainに保存して読み込めるようにします。

brew install pinentry-mac

とりあえず最初にpinentry-macのパスを知りたいので、

$ which pinentry-mac        
/opt/homebrew/bin/pinentry-mac

とやって出力された値をコピーして~/.gnupg/gpg-agent.confを作成または編集します。

use-agent
enable-ssh-support
pinentry-program /opt/homebrew/bin/pinentry-mac

みたいなことを書いて保存。これをやらないとGPGのパスフレーズを入力できないし、入力した値が保存されません。Keychainは偉大。

コミットに署名をつける#

とりあえず全てのコミットに署名をつけてしまって困ることがないので、つけましょう。

git config --global user.signingkey <GPG KEY ID>

署名付きでコミットしたいときには、

git commit -S

とすればいいのですが、毎回実行するのはめんどくさいので自動で有効になるようにしました。

git config --global commit.gpgSign true

こうすると勝手に署名が付きます。

DevContainer#

なにか設定が必要な可能性もあるのですが,SSHキーを共有していたらホストマシンのものがコンテナ内でも利用できました。

キーの出力#

gpg --export <GPG KEY ID> public.key
gpg --export-secret-keys <GPG KEY ID> > private.key

なくすと困るので出力しておきます。