Variables de GitLab CI desde Crunu, vinculadas con id_tokens

Qué hace Crunu en GitLab CI

Un trabajo ejecuta tu comando mediante crunu run. El agente crunu inicia sesión con un token de servicio, comprueba las firmas, descifra las variables en memoria e inicia el comando con ellas. No se escribe nada en disco.

crunu run --env web-app/staging -- npm test

El token recibe solo los entornos que concedes. Con una vinculación de CI (OIDC), GitLab emite para el trabajo un token con tu servidor de Crunu como audiencia, y el token de Crunu solo funciona junto con él, para la ruta del proyecto, la ref y el entorno que fijes. crunu lee el token de GitLab de CRUNU_ID_TOKEN por su cuenta.

Configuración

1. En Crunu, abre Service tokens y elige New service token. Concede los entornos que necesita el trabajo. El token se muestra una sola vez.
2. En GitLab, abre Settings → CI/CD → Variables y añade CRUNU_TOKEN como variable enmascarada y protegida.
3. Añade CRUNU_SERVER, CRUNU_VERSION, CRUNU_INSTALL_URL, CRUNU_INSTALL_SHA256 y CRUNU_BINARY_SHA256 con los valores del bloque CI setup de la página del token. En la nube, CRUNU_SERVER es https://app.crunu.com.
4. Opcional: añade una vinculación de CI (OIDC) en la página del token. Elige el proveedor GitLab y fija project_path, ref, ref_type y, para un token de production, environment.

Trabajo de ejemplo

La imagen del trabajo necesita sh y curl o wget. Las imágenes node, python y alpine los tienen.

test:
  image: node:24
  id_tokens:
    CRUNU_ID_TOKEN:
      aud: https://app.crunu.com   # your Crunu server; only if the token has a CI binding (OIDC)
  script:
    - curl -sSf "$CRUNU_INSTALL_URL" -o /tmp/crunu-install.sh
    - echo "$CRUNU_INSTALL_SHA256  /tmp/crunu-install.sh" | sha256sum -c -
    - sh /tmp/crunu-install.sh --version "$CRUNU_VERSION" --sha256 "$CRUNU_BINARY_SHA256" --user-install
    - crunu run --env web-app/staging -- npm test

Para un token de production, la vinculación de CI (OIDC) podría exigir:

• project_path: kiteline/web-app
• ref: main
• ref_type: branch
• environment: production

Las plantillas de trabajo .crunu

Los pasos de instalación vienen también como un archivo de plantilla con dos trabajos ocultos. Tus trabajos los heredan con extends:

• .crunu instala una versión fijada de crunu en before_script, comprueba el SHA-256 del instalador y del binario, y muestra crunu version;
• .crunu-oidc hace lo mismo y añade id_tokens, para tokens con una vinculación de CI.

Guarda una copia de la plantilla en tu repositorio, para que sus cambios se revisen junto con tu código. Si prefieres incluirla desde otro proyecto de GitLab, fija ref a un commit, no a una rama.

include:
  - local: ci/crunu.gitlab-ci.yml

test:
  image: node:24
  extends: .crunu
  script:
    - crunu run --env web-app/staging -- npm test

deploy:
  image: node:24
  extends: .crunu-oidc        # the production token has an OIDC rule: project_path, ref, environment
  environment: production
  rules:
    - if: $CI_COMMIT_BRANCH == "main"
  script:
    - crunu run --env web-app/production -- npm run deploy

El before_script propio de un trabajo sustituye al de la plantilla, porque extends no combina listas de comandos. Vuelve a añadir de forma explícita los pasos de la plantilla:

test:
  extends: .crunu
  before_script:
    - !reference [.crunu, before_script]
    - npm ci
  script:
    - crunu run --env web-app/staging -- npm test

Qué se comprueba

• La suma de verificación del instalador se compara antes de ejecutarlo. Si no coincide, el trabajo se detiene y crunu no se instala.
• El instalador comprueba la suma de verificación del binario y lo ejecuta una vez antes de colocarlo en su sitio.
• Los valores mal formados, como una suma de verificación que falta o una dirección que no es https://, se rechazan antes de descargar nada.

Runners y sumas de verificación

crunu funciona en Linux y macOS, en amd64 y arm64. No hay versión para Windows. La suma de verificación del bloque CI setup es para Linux amd64; para runners arm64, define sumas de verificación por plataforma a partir del manifest.json de la versión publicada.

Revocación

Abre el token en Crunu y elige Revoke. Su siguiente inicio de sesión se rechaza, y un trabajo que ya está en marcha termina con lo que recibió. Si el token pudo filtrarse, rota también las claves de los entornos que se le dieron y reemite los valores que contienen en sus proveedores.

Relacionado

• CI/CD en Crunu
• GitLab CI en la documentación
• Vincular un token con OIDC
• Tokens de servicio