main: ci: update release jobs

Signed-off-by: GnomeZworc <nicolas.boufidjeline@g3e.fr>

.forgejo/workflows/release-pipeline.yml

@@ -0,0 +1,128 @@
+name: Release Pipeline
+
+# Un seul pipeline pour les préversions et les releases finales : les cinq jobs
+# (cible, build, assets, manifeste, publication) sont identiques dans les deux
+# cas, seul le drapeau `prerelease` change. Le dupliquer dans un second fichier
+# recopierait tout pour une ligne de différence.
+#
+# Le filtre `[0-9]*` couvre les deux formes de tag (0.1.0, 0.1.0rc016) tout en
+# ignorant les tags de travail qui ne commencent pas par un chiffre.
+on:
+  push:
+    tags:
+      - '[0-9]*'
+
+jobs:
+  set-release-target:
+    runs-on: docker
+    outputs:
+      release_cible: ${{ steps.setvar.outputs.release_cible }}
+      prerelease: ${{ steps.setvar.outputs.prerelease }}
+    steps:
+      - name: Déterminer la release cible
+        id: setvar
+        run: |
+          if [[ "${GITHUB_REF}" == refs/tags/* ]]; then
+            TAG="${GITHUB_REF#refs/tags/}"
+            echo "release_cible=$TAG" >> $GITHUB_OUTPUT
+          elif [[ "${GITHUB_REF}" == "refs/heads/main" ]]; then
+            echo "release_cible=latest" >> $GITHUB_OUTPUT
+          else
+            echo "release_cible=unknown" >> $GITHUB_OUTPUT
+          fi
+
+          # Un tag contenant « rc » est une préversion ; tout le reste est une
+          # release finale, qui exige des notes (cf. release.yml).
+          if [[ "${GITHUB_REF#refs/tags/}" == *rc* ]]; then
+            echo "prerelease=true" >> $GITHUB_OUTPUT
+          else
+            echo "prerelease=false" >> $GITHUB_OUTPUT
+          fi
+
+      - name: Afficher la variable
+        run: |
+          echo "Release cible = ${{ steps.setvar.outputs.release_cible }}"
+          echo "Prerelease    = ${{ steps.setvar.outputs.prerelease }}"
+  build:
+    needs: [set-release-target]
+    strategy:
+      matrix:
+        goos: [linux]
+        goarch: [amd64]
+        binaries:
+          - metadata
+          - agent
+    uses: ./.forgejo/workflows/build.yml
+    with:
+      tag: ${{ needs.set-release-target.outputs.release_cible }}
+      goos: ${{ matrix.goos }}
+      goarch: ${{ matrix.goarch }}
+      binari: ${{ matrix.binaries }}
+    secrets: inherit
+  # Scripts et units systemd publiés comme assets de release : deploy.sh les
+  # installe depuis la release, plus depuis la branche. Ajouter une entrée ici
+  # suffit à livrer un nouveau fichier.
+  upload-assets:
+    runs-on: docker
+    needs: [set-release-target]
+    strategy:
+      matrix:
+        include:
+          - path: scripts/run-dnsmasq-in-netns.sh
+            name: run-dnsmasq-in-netns.sh
+          - path: systemd/agent.service
+            name: agent.service
+          - path: systemd/dnsmasq@.service
+            name: dnsmasq@.service
+          - path: systemd/metadata@.service
+            name: metadata@.service
+    steps:
+      - uses: actions/checkout@v3
+      - name: Move asset
+        run: |
+          mkdir -p "dist"
+          cp "${{ matrix.path }}" dist/
+      - name: Upload asset
+        uses: actions/upload-artifact@v3
+        with:
+          name: ${{ matrix.name }}-${{ needs.set-release-target.outputs.release_cible }}
+          path: dist/${{ matrix.name }}
+  # Manifeste des sommes de contrôle de tous les artefacts, au format sha256sum.
+  # Dépend de tous les jobs qui produisent des artefacts : ajouter un producteur
+  # sans l'ajouter ici donnerait un manifeste incomplet, donc un déploiement qui
+  # refuse des assets légitimes.
+  checksums:
+    runs-on: docker
+    needs: [set-release-target, build, upload-assets]
+    steps:
+      - name: Download all artifacts
+        uses: actions/download-artifact@v3
+        with:
+          path: artifacts/
+      - name: Générer SHA256SUMS
+        run: |
+          mkdir -p dist
+          # download-artifact place chaque artefact dans son propre
+          # sous-répertoire : on aplatit pour que le manifeste porte les noms
+          # d'assets, tels que deploy.sh les demandera.
+          find artifacts/ -type f -exec cp {} dist/ \;
+          # Généré depuis dist/ pour que les noms soient nus, et hors de dist/
+          # pour que le manifeste ne se liste pas lui-même.
+          ( cd dist && sha256sum * ) > SHA256SUMS
+          cat SHA256SUMS
+      - name: Upload SHA256SUMS
+        uses: actions/upload-artifact@v3
+        with:
+          name: SHA256SUMS-${{ needs.set-release-target.outputs.release_cible }}
+          path: SHA256SUMS
+  publish:
+    # Tous les producteurs d'artefacts sont dans les needs : sans ça, le job
+    # release peut appeler download-artifact avant la fin des uploads et publier
+    # une release incomplète (assets ou manifeste manquants de façon non
+    # déterministe).
+    needs: [set-release-target, build, upload-assets, checksums]
+    uses: ./.forgejo/workflows/release.yml
+    with:
+      tag: ${{ needs.set-release-target.outputs.release_cible }}
+      prerelease: ${{ needs.set-release-target.outputs.prerelease }}
+    secrets: inherit