Запуск GitLab Runner в Yandex Serverless Containers

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Чтобы создать секрет, выполните команду:

yc lockbox secret create \
  --name gitlab-runner-token \
  --payload '[{"key": "gitlab_runner_token", "text_value": "<токен_раннера>"}]'

Где:

• --name — имя секрета.
• --payload — содержимое секрета в виде массива YAML или JSON.
• <токен_раннера> — аутентификационный токен раннера, который вы получили ранее.

Результат:

id: e6qdur7h55vd********
folder_id: b1g681qpemb4********
created_at: "2025-09-16T06:04:12.604Z"
name: gitlab-runner-token
status: ACTIVE
current_version:
  id: e6qbaf927irb********
  secret_id: e6qdur7h55vd********
  created_at: "2025-09-16T06:04:12.604Z"
  status: ACTIVE
  payload_entry_keys:
    - gitlab_runner_token

Чтобы создать секрет, воспользуйтесь методом REST API create для ресурса Secret или вызовом gRPC API SecretService/Create.

1. Создайте сервисные аккаунты:

   yc iam service-account create --name gitlab-runner-lockbox-payload-viewer
   yc iam service-account create --name gitlab-runner-caller
   

   Результат:

   id: ajenprbpf1s3********
   folder_id: b1g681qpemb4********
   created_at: "2025-09-16T06:06:13.092790480Z"
   name: gitlab-runner-lockbox-payload-viewer
   
   id: ajetqjm00ji8********
   folder_id: b1g681qpemb4********
   created_at: "2025-09-16T06:06:15.661704808Z"
   name: gitlab-runner-caller
   

2. Назначьте роли сервисным аккаунтам:

   yc lockbox secret add-access-binding \
     --name gitlab-runner-token \
     --role lockbox.payloadViewer \
     --service-account-name gitlab-runner-lockbox-payload-viewer
   
   yc resource-manager folder add-access-binding \
     --id <идентификатор_каталога> \
     --role serverless-containers.containerInvoker \
     --service-account-name gitlab-runner-caller
   

   Где:

   • --name — имя секрета.
   • --id — идентификатор каталога.
   • --role — назначаемая роль.
   • --service-account-name — имя сервисного аккаунта.

   Результат:

   ...1s...done (4s)
   ...1s...done (2s)
   effective_deltas:
     - action: ADD
       access_binding:
         role_id: serverless-containers.containerInvoker
         subject:
           id: ajetqjm00ji8********
           type: serviceAccount
   

Чтобы создать сервисный аккаунт, воспользуйтесь методом REST API create для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/Create.

Чтобы назначить сервисному аккаунту роль lockbox.payloadViewer на секрет, воспользуйтесь методом REST API updateAccessBindings для ресурса Secret или вызовом gRPC API SecretService/UpdateAccessBindings.

Чтобы назначить сервисному аккаунту роль serverless-containers.containerInvoker на каталог, воспользуйтесь методом REST API updateAccessBindings для ресурса Folder или вызовом gRPC API FolderService/UpdateAccessBindings.

1. Создайте API-ключ для сервисного аккаунта gitlab-runner-caller:

   yc iam api-key create \
     --service-account-name gitlab-runner-caller \
     --scopes yc.serverless.containers.invoke
   

   Где:

   • --service-account-name — имя сервисного аккаунта.
   • --scopes — область действия ключа.

   Результат:

   api_key:
     id: aje3oa26mt52********
     service_account_id: ajetqjm00ji8********
     created_at: "2025-09-16T06:08:47.018697312Z"
     scope: yc.serverless.containers.invoke
     scopes:
       - yc.serverless.containers.invoke
   secret: AQVNw8KEa3SiA8vlpXEhfl9k-uYT22Ws********
   

Чтобы создать API-ключ, воспользуйтесь методом REST API create для ресурса ApiKey или вызовом gRPC API ApiKeyService/Create.

1. Создайте контейнер:

   yc serverless container create --name serverless-gitlab-runner
   

   Результат:

   id: bba83i1mrb5s********
   folder_id: b1g681qpemb4********
   created_at: "2025-09-16T06:10:03.153Z"
   name: serverless-gitlab-runner
   url: https://bba83i1mrb5s********.containers.yandexcloud.net/
   status: ACTIVE
   

2. Создайте ревизию контейнера:

   yc serverless container revision deploy \
     --container-name serverless-gitlab-runner \
     --runtime=http \
     --cores <количество_ядер> \
     --memory <объем_RAM> \
     --image cr.yandex/yc/serverless/gitlab-runner \
     --environment CI_SERVER_URL=https://gitlab.com \
     --environment WEBHOOK_PATH=/webhook \
     --secret id=<идентификатор_секрета>,version-id=<идентификатор_версии_секрета>,key=gitlab_runner_token,environment-variable=RUNNER_TOKEN \
     --service-account-id <идентификатор_сервисного_аккаунта_1> \
     --execution-timeout <таймаут> \
     --mount type=ephemeral-disk,mount-point=/mnt,size=<размер_диска>\
     --async-service-account-id <идентификатор_сервисного_аккаунта_2>
   

   Где:

   • --container-name — имя контейнера.

   • --runtime — режим работы.

   • --cores — количество ядер, которые доступны контейнеру, например 1.

   • --memory — требуемая память, например 1GB.

   • --image — URL Docker-образа gitlab-runner.

   • --environment — переменные окружения:

     • CI_SERVER_URL — адрес GitLab CI.
     • WEBHOOK_PATH — путь эндпоинта вебхука.

   • --secret — секрет Lockbox.

   • --service-account-id — идентификатор сервисного аккаунта gitlab-runner-lockbox-payload-viewer.

   • --execution-timeout — таймаут, например 600s.

   • --mount — параметры монтирования эфемерного диска:

     • type=ephemeral-disk — тип монтируемой файловой системы.
     • mount-point — имя точки монтирования. Директория, к которой смонтируется диск, будет доступна по пути /mnt.
     • size — размер эфемерного диска в ГБ, например 10GB.

   • --async-service-account-id — идентификатор сервисного аккаунта gitlab-runner-caller.

   Результат:

   id: bba27hejd69a********
   container_id: bba83i1mrb5s********
   created_at: "2025-09-18T09:38:14.528Z"
   image:
     image_url: cr.yandex/yc/serverless/gitlab-runner
     image_digest: sha256:ac62...
     environment:
       CI_SERVER_URL: https://gitlab.com
       WEBHOOK_PATH: C:/Program Files/Git/webhook
   resources:
     memory: "1073741824"
     cores: "1"
     core_fraction: "100"
   execution_timeout: 600s
   concurrency: "1"
   service_account_id: ajenprbpf1s3********
   status: ACTIVE
   secrets:
     - id: e6qdur7h55vd********
       version_id: e6qbaf927irb********
       key: gitlab_runner_token
       environment_variable: RUNNER_TOKEN
   log_options:
     folder_id: b1g681qpemb4********
   mounts:
     - mount_point_path: /mnt
       ephemeral_disk_spec:
         size: "10737418240"
         block_size: "4096"
   runtime:
     http: {}
   async_invocation_config:
     service_account_id: ajetqjm00ji8********
   

   Совет

   В случае ошибки mounts[0].mount_point_path: Field does not match the pattern /[-_0-9a-zA-Z/]*/ экранируйте имя точки монтирования:

   mount-point=//mnt
   

Чтобы создать контейнер, воспользуйтесь методом REST API create для ресурса Container или вызовом gRPC API ContainerService/Create.

Чтобы создать ревизию контейнера, воспользуйтесь методом REST API deployRevision для ресурса Container или вызовом gRPC API ContainerService/DeployRevision.