Woodpecker CI 3.20 a fost lansat: Selecție manuală a workflow-urilor, restricții pentru agenți și corecții critice de securitate

 

Platforma open-source de automatizare CI/CD Woodpecker CI a primit actualizarea la versiunea 3.20. Această iterație introduce funcționalități noi pentru controlul execuției pipeline-urilor, consolidarea politicilor de securitate, planificare mai rapidă a sarcinilor și o serie de remedieri importante pentru backend-urile Kubernetes și Docker.

Selecție manuală de workflow și control granular al agenților

Cea mai vizibilă noutate funcțională este posibilitatea de a selecta un anumit workflow la declanșarea manuală a unui pipeline. Anterior, rularea manuală nu permitea utilizatorilor izolarea unui workflow individual, fiind executată întreaga configurație.

Pentru mediile multi-tenant (unde mai multe echipe sau organizații împart aceeași instanță de Woodpecker), versiunea 3.20 introduce opțiunea de a restricționa organizațiile și utilizatorii exclusiv la propriii lor agenți. Administratorii pot astfel garanta izolarea resurselor de calcul și securitatea execuției.

Măsuri consolidate de securitate

Versiunea 3.20 întărește substanțial protecția credențialelor și a secretelor:

• Eliminarea token-urilor din mediu: Token-urile de agent nu mai sunt expuse în variabilele de mediu ale proceselor.

• Jurnale de depanare curate: Credențialele de tip bearer nu mai sunt scrise în log-urile de nivel trace.

• Rotirea cheilor: Token-urile JWT pentru depozite sunt rotite automat în timpul operațiunilor de reparare (repair), iar procesul de preluare a configurației a fost securizat.

• Acces Read-Only în caz de eroare: Dacă sincronizarea permisiunilor cu serviciul Git asociat eșuează, sistemul retrogradează automat accesul la nivelul read-only (doar citire), eliminând riscul acordării accidentale a unor drepturi extinse.

Performanță, backend-uri și integrare Git

Actualizarea aduce îmbunătățiri pe multiple niveluri tehnice:

• Optimizarea cozii de execuție: Algoritmii de planificare a cozii de sarcini (queue scheduling) calculează prioritățile mai rapid. De asemenea, o coadă pusă pe pauză rămâne în această stare chiar și după repornirea serverului.

• Backend Kubernetes & Docker: Pod-urile șterse cu status necunoscut nu mai sunt marcate în mod eronat ca având succes, iar configurațiile backend invalide returnează erori explicite. Conexiunile Docker prin TLS cu host-uri personalizate beneficiază de remedieri dedicate.

• Dependințe depends_on: S-a eliminat un bug grav în care un workflow dependent putea fi executat chiar dacă etapa precedentă eșuase, în scenariile în care coada fusese reîncărcată.

• Compatibilitate Git: S-a îmbunătățit sincronizarea permisiunilor moștenite prin grupuri în GitLab, au fost corectate tag-urile adnotate pentru GitLab, Gitea și Forgejo, alături de mecanismul de reîmprospătare a token-urilor OAuth.

• Interfață și CLI: A fost introdusă variabila de mediu CI_REPO_ID, comanda lint din CLI prioritizează detectarea fișierelor locale de configurare, tema întunecată a fost reproiectată, iar interfața web indică clar starea de fallback a permisiunilor.

Actualizare imediată la versiunea 3.20.1

Notă: Lansarea inițială 3.20.0 a introdus accidental o incompatibilitate legată de funcționalitatea drone/envsubst și o problemă la gruparea log-urilor în UI. Dezvoltatorii au lansat prompt patch-ul Woodpecker CI 3.20.1, versiune recomandată pentru implementare în mediile de producție.

Sursa articolului: Linuxiac — Woodpecker CI 3.20 Released with Pipeline Improvements, Security Fixes