fix(ci-images): schedule só para o build-trivy-ci — lar das imagens é o tmf_imagens [INFRA-68880] #83

Merged

tarcisio merged 2 commits from fix/INFRA-68880-build-ci-images-sem-schedule into develop

2026-10-09 16:18:58 -03:00

tmf-ia commented

2026-10-09 15:55:13 -03:00

Owner

O que

No build-ci-images.yml do ci-shared, o schedule passa a disparar só o build-trivy-ci. Os 5 jobs que ainda rodavam no cron (python-ci, node-ci, nginx-base, php-ci, deploy-ci) saem dele. docker-ci e android-ci já estavam fora. workflow_dispatch continua como reserva para todos. INFRA-68880 / ADR 0018.

Por quê

Corrida de escrita: o ci-shared (restaurado no #59) e o TMF/tmf_imagens rodam os mesmos crons e publicam as mesmas tags em tmf/ci-images. A cópia do ci-shared está atrasada: FROM do Docker Hub em node/php/nginx e python-ci sem xz-utils, que foi a quebra de 08/10. Cada cron daqui sobrescreve as imagens boas do tmf_imagens. Pela ADR 0018, item 1, o lar é o tmf_imagens.
Exceção trivy: o tmf_imagens não publica a tmf-ci-trivy:0.68.2 com origem interna (o pacote só tem a 0.74). O gate da frota está pinado na 0.68.2 e reprova DB com mais de 10 dias. Se o refresh semanal daqui parar, o gate quebra por volta de 19/10. Ele só sai depois que a INFRA-69046 mover o pin para a 0.74 e o novo pin for provado.

Prazo

Próximo cron: segunda 12/10, 06:00 UTC. Precisa estar na develop antes disso.

O Forgejo dispara schedule pelo workflow da branch padrão, que no ci-shared é develop (conferido). O efeito vale no merge, sem depender de release.

Sequência

Este PR.
INFRA-69046 move o gate para tmf-ci-trivy:0.74.0-db<data> e o pin é provado.
2º PR remove build-ci-images.yml + ci-images/ e aponta as mensagens do gate de CVE para o workflow do tmf_imagens.

Validação

Teste-guarda test_build_ci_images_schedule (só o build-trivy-ci reage ao schedule; workflow_dispatch mantido) + ci-unico (115), soberania e ci-ok verdes.

🤖 Generated with Claude Code

https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2

## O que No `build-ci-images.yml` do ci-shared, o `schedule` passa a disparar **só o `build-trivy-ci`**. Os 5 jobs que ainda rodavam no cron (python-ci, node-ci, nginx-base, php-ci, deploy-ci) saem dele. docker-ci e android-ci já estavam fora. `workflow_dispatch` continua como reserva para todos. **INFRA-68880 / ADR 0018.** ## Por quê - **Corrida de escrita:** o ci-shared (restaurado no #59) e o `TMF/tmf_imagens` rodam os mesmos crons e publicam as mesmas tags em `tmf/ci-images`. A cópia do ci-shared está atrasada: FROM do Docker Hub em node/php/nginx e python-ci sem xz-utils, que foi a quebra de 08/10. Cada cron daqui sobrescreve as imagens boas do tmf_imagens. Pela ADR 0018, item 1, o lar é o tmf_imagens. - **Exceção trivy:** o tmf_imagens não publica a `tmf-ci-trivy:0.68.2` com origem interna (o pacote só tem a 0.74). O gate da frota está pinado na 0.68.2 e reprova DB com mais de 10 dias. Se o refresh semanal daqui parar, o gate quebra por volta de 19/10. Ele só sai depois que a INFRA-69046 mover o pin para a 0.74 e o novo pin for provado. ## Prazo Próximo cron: **segunda 12/10, 06:00 UTC**. Precisa estar na develop antes disso. > O Forgejo dispara `schedule` pelo workflow da **branch padrão**, que no ci-shared é `develop` (conferido). O efeito vale no merge, sem depender de release. ## Sequência 1. Este PR. 2. INFRA-69046 move o gate para `tmf-ci-trivy:0.74.0-db<data>` e o pin é provado. 3. 2º PR remove `build-ci-images.yml` + `ci-images/` e aponta as mensagens do gate de CVE para o workflow do tmf_imagens. ## Validação Teste-guarda `test_build_ci_images_schedule` (só o `build-trivy-ci` reage ao schedule; `workflow_dispatch` mantido) + ci-unico (115), soberania e ci-ok verdes. 🤖 Generated with [Claude Code](https://claude.com/claude-code) https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2

tmf-ia added 1 commit

2026-10-09 15:55:13 -03:00

fix(ci-images): build-ci-images sem schedule — lar é o tmf_imagens [INFRA-68880]

PR checks (ci-shared) / testes (pull_request) Has been cancelled

Details

f061757d7a

O build-ci-images.yml restaurado no #59 roda os mesmos crons do tmf_imagens
(dia 1 03:00 e segunda 06:00 UTC) e publica as mesmas tags em tmf/ci-images:
corrida de escrita, quem roda por último vence. Pela ADR 0018 (item 1) o lar é o
tmf_imagens. Tira só o `schedule:`; `workflow_dispatch` fica como reserva. A
remoção completa (este arquivo + ci-images/) vem depois que o tmf_imagens provar
a paridade.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2

tmf-ia requested review from tarcisio

2026-10-09 15:55:14 -03:00

tmf-ia changed title from ~~fix(ci-images): build-ci-images sem schedule — lar é o tmf_imagens [INFRA-68880]~~ to fix(ci-images): schedule só para o build-trivy-ci — lar das imagens é o tmf_imagens [INFRA-68880]

2026-10-09 16:06:43 -03:00

tmf-ia added 1 commit

2026-10-09 16:06:43 -03:00

fix(ci-images): schedule fica só para o build-trivy-ci [INFRA-68880]

PR checks (ci-shared) / testes (pull_request) Successful in 3m52s

Details

9290926032

Correção do commit anterior, com a medição da TMF Imagens: o tmf_imagens não
publica a tmf-ci-trivy:0.68.2 com origem interna, e o gate da frota está pinado
nela (reprova DB com mais de 10 dias). Se o refresh semanal parar, o gate quebra
por volta de 19/10. O `schedule:` volta, mas só o build-trivy-ci reage a ele; os
5 jobs que ainda rodavam no cron (python, node, nginx, php, deploy) saem — a cópia
deles aqui está atrasada e sobrescrevia as imagens boas do tmf_imagens. O
schedule do trivy sai depois que a INFRA-69046 mover o pin para a 0.74.

Teste-guarda: test_build_ci_images_schedule (só build-trivy-ci no schedule).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01ES1xwVdpQV69zEsuLLKzx2