orvintax schreef op dinsdag 1 april 2025 @ 14:57:
[...]
Interessante post om te lezen. Coole setup! Ik was in eerste instantie wel verward hoe je Watchtower had "vervangen" door Renovate. Maar als ik het goed begrijp kickt je pipeline een Ansible playbook af die de daadwerkelijke update doet op je Docker host. Dus het is meer de samenwerking tussen Renovate en Ansible die dan het stukje Watchtower vervangt.
Misschien omdat ik wat teveel in de materie zit, dat ik wellicht over wat details heen ben gevlogen
. Eerder controleerde Watchtower (bij mij) iedere dag of er updates voor containers waren. Ik had per Docker Compose stack een aparte Watchtower container draaien zodat dit proces nog enigszins beheersbaar was. Echter gaf het me totaal geen inzicht welke versie nu waar draaide.
Tegelijkertijd beheer(de) ik mijn Docker Compose stacks met
Dockge. De Docker Compose stacks kopieerde ik bij aanpassingen handmatig in Dockge. De eerste stap die ik heb gemaakt is om deze met Ansible automatisch over te zetten. Ik gebruikte hiervoor de onderstaande Ansible playbook:
YAML:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
| - name: Deploy Docker Compose
hosts: docker
tasks:
- name: Ensure remote directories
ansible.builtin.file:
path: "/opt/appdata/dockge/stacks/{{ item.path }}"
state: directory
mode: "0755"
owner: "nobody"
group: "nogroup"
with_community.general.filetree: "{{ inventory_dir }}/compose/{{ inventory_hostname }}/"
when: item.state == 'directory'
- name: Copy regular files
ansible.builtin.copy:
src: "{{ item.src }}"
dest: "/opt/appdata/dockge/stacks/{{ item.path }}"
mode: "0644"
owner: "nobody"
group: "nogroup"
with_community.general.filetree: "{{ inventory_dir }}/compose/{{ inventory_hostname }}/"
when: item.state == 'file' and (item.src | splitext | last) != '.j2'
- name: Template Jinja .j2 files
ansible.builtin.template:
src: "{{ item.src }}"
dest: "/opt/appdata/dockge/stacks/{{ item.path | splitext | first }}"
mode: "0644"
owner: "nobody"
group: "nogroup"
with_community.general.filetree: "{{ inventory_dir }}/compose/{{ inventory_hostname }}/"
when: item.state == 'file' and (item.src | splitext | last) == '.j2' |
De directory layout die ik dan gebruikte was:
┌── compose
│ └── hostnameA/
│ └── adguard_home/
│ └── compose.yaml
│ └── home_assistant/
│ └── compose.yaml
│ └── .env
│ └── hostnameB/
│ └── adguard_home/
│ └── compose.yaml
│ └── zigbee2mqtt/
│ └── compose.yaml
│ └── .env.j2
Dat was voor mij al een enorme verbetering omdat ik hiermee in ieder geval de Compose bestanden niet meer handmatig - en dus foutgevoelig - in hoefde te voeren. Je zou zelfs de onderste stap weg kunnen laten en alleen kopiëren. Ook dat verminderd de complexiteit aanzienlijk.
Je zou dit ook met Forgejo, Gitea of GitLab CI en zoiets als scp kunnen doen. Ik heb vooral Ansible gekozen vanwege het Jinja templaten. En vanaf hier was Renovate eigenlijk een paar kleine stappen.
1. Als eerste heb ik een Renovate user aangemaakt genaamd
renovate-bot met hetzelfde e-mailadres als in de configuratie hieronder. Je mag dit zelf kiezen
.
2. Voor deze user heb ik een repo aangemaakt genaamd
renovate-config.
In die repo zit een secret genaamd
RENOVATE_TOKEN en dat is een
Personal Access Token met de permissies conform de
Renovate documentatie.
3. Ik heb een standaard Renovate config aangemaakt genaamd
config.js met uiteraard de juiste gegevens / parameters.
JavaScript:
1
2
3
4
5
6
7
8
9
10
11
12
13
| module.exports = {
platform: 'gitea',
endpoint: 'https://git.example.com/api/v1/',
gitAuthor: 'Renovate Bot <renovate@users.noreply.github.com>',
username: 'renovate-bot',
autodiscover: true,
onboardingConfig: {
$schema: 'https://docs.renovatebot.com/renovate-schema.json',
extends: ['config:recommended']
},
optimizeForDisabled: true,
persistRepoData: true,
} |
Vervolgens heb ik een workflow aangemaakt in
.forgejo/workflows in dezelfde repository met een hele basic workflow:
YAML:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
| ---
name: Renovate
# yamllint disable-line rule:truthy
on:
schedule:
- cron: "@daily"
workflow_dispatch:
jobs:
renovate:
runs-on: ubuntu-latest
container: ghcr.io/renovatebot/renovate:39.229.0
steps:
- uses: actions/checkout@v4
- run: renovate
env:
RENOVATE_CONFIG_FILE: "config.js"
LOG_LEVEL: "debug"
RENOVATE_TOKEN: ${{ secrets.RENOVATE_TOKEN }} |
En als laatste stap heb ik de renovate-bot toegevoegd aan de repositories waarin ik Renovate wil hebben.
Daarna kon ik een run starten en werkte het... Natuurlijk pakt Renovate geen latest op en moet je zelf eerst de juiste versies intikken. En daarnaast heb ik uiteraard mijn configuratie verder uitgebreid met bijvoorbeeld een
dependency dashboard en custom matchers, maar dat hoeft allemaal niet. Daar ben ik ook pas na een maand of anderhalf mee gestart. In ieder geval was ik nu wel af van alle
:latest-tags, Watchtower containers
(laatste update meer dan 1 jaar geleden!) en had ik transparantie van updates.
Ik ben zelf tegenwoordig wel meer van het eenvoudig te houden. Dus ik laat Renovate lekker gaan, Gitlab CI/CD publisht de image dan naar een container registry. Vervolgens draait Watchtower om de zoveel uur om de update binnen te trekken. Good ol' polling.
Ieder z'n ding
. Ik zeg ook niet dat mijn oplossing het einddoel is, maar ik vind het zo verdomd makkelijk werken. En zoals je misschien merkt heb ik me echt verbaasd over de enorm eenvoudige setup.
:strip_exif()/i/1385569950.png?f=thumbmini)
:strip_icc():strip_exif()/u/99951/Eye.jpg?f=community)
:strip_exif()/u/101588/the_lemmings_masacre_2_by_wormthingy.gif?f=community)
.
:strip_icc():strip_exif()/u/144633/crop643e593ea432f_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/72351/Toon_en_Len%25202015-02-02%252070x69.jpg?f=community)
::fill(white):strip_exif()/f/image/zOV08jl2r4jQ5DHB5ssoBwOP.png?f=user_large)
.
/u/179168/bart_avatar_60.png?f=community){kind=avatar}
:fill(white):strip_exif()/f/image/HDS8jILfpiaK6m4hdNJCyJOo.png?f=user_large)
:no_upscale():strip_icc():fill(white):strip_exif()/f/image/193fRlo8y6s1SZl218L4uRXy.jpg?f=user_large)
:fill(white):strip_exif()/f/image/scuHlgDul3sDp0Bb8fFtSJwh.png?f=user_large)
:fill(white):strip_exif()/f/image/ZXaWr815JJZ5nqtYMaJEXSFr.png?f=user_large)
:strip_icc():strip_exif()/u/94045/crop66c1b4250e8a2_cropped.jpg?f=community)
? Want dat hoeft niet. Of snap ik er nu even helemaal niets meer van?
- dank je voor de uitgebreide uitleg!
. Dat heb ik wel nodig omdat ik processen wil pinnen op mijn E-cores. En ik heb ook niet per se het idee dat dit ooit nog geïmplementeerd gaat worden.:strip_exif()/u/1639410/crop66fd08c07b57b_cropped.webp?f=community)
:strip_icc():strip_exif()/u/333229/Logo%2520RFixIT%2520Tweakers.jpg?f=community)
:strip_icc():strip_exif()/u/28238/dommel.jpg?f=community)
:strip_exif()/f/image/dAogb5gSTjHfdmvQVeGeOULJ.png?f=user_large)
:strip_exif()/f/image/14FAqd15J6ny9LhQTTrQTE1z.png?f=user_large)
door de Tile card te modden met een subtitel::no_upscale():strip_icc():strip_exif()/f/image/TfJ7Zky7wIHEoFIOVBOa6nRi.jpg?f=user_large)
:strip_exif()/u/53522/crop583d477015a24.gif?f=community)
/u/78932/Jewel3GoT.png?f=community)
:strip_exif()/u/1054665/crop5be31086906cf_cropped.gif?f=community)
.
. Maar ik moet zeggen dat Renovate bijvoorbeeld kinderlijk eenvoudig was om mee te starten :strip_exif()/f/image/M797tIRh1FBQKoCrz5OSZ5Bs.png?f=user_large)
:strip_exif()/f/image/UjBcjzvrHG9HvrcyLZ54eD8r.png?f=user_large)
:strip_exif()/f/image/1KmRAGyasmiWGGgC0f3cFgcC.png?f=user_large)
:strip_exif()/f/image/gXjpyIwDdcx0dKOWhLXAibHy.png?f=user_large)
:strip_exif()/f/image/bnt4loZH69xL6r5rUoWtBozV.png?f=user_large)