Merge PR #8: fix(ci): Cloud Build com --gcs-source-staging-dir + --async + poll loop

--suppress-logs nessa versão do gcloud CLI no runner ainda tenta ler
logs no fim e dá exit != 0 quando a SA não tem Viewer no projeto. Build
real do PR #8 deu SUCCESS (image lab-18 em AR), mas a step falhou na
finalização do gcloud.

Com --async, gcloud retorna o build ID logo após enfileirar e sai.
Poll explícito via builds describe (que usa cloudbuild.builds.get,
já em builds.editor). Mata o build no primeiro estado terminal != SUCCESS.

.gitea/workflows/cd.yml

@@ -6,53 +6,16 @@ on:
   pull_request:
 
 env:
-  IMG: ${{ secrets.AR_LOCATION }}-docker.pkg.dev/${{ secrets.GCP_PROJECT }}/${{ secrets.AR_REPO }}/${{ gitea.event.repository.name }}:lab-${{ gitea.run_number }}
+  IMAGE_BASE: ${{ secrets.AR_LOCATION }}-docker.pkg.dev/${{ secrets.GCP_PROJECT }}/${{ secrets.AR_REPO }}
 
 jobs:
-  # Build + push da imagem usando Kaniko (sem Docker daemon, sem Cloud Build).
-  # Roda dentro da imagem oficial do Kaniko que tem busybox + binary executor.
   build:
     runs-on: ubuntu-latest
-    container:
-      image: gcr.io/kaniko-project/executor:v1.23.2-debug
-    steps:
-      - uses: actions/checkout@v4
-
-      - name: Auth Artifact Registry + Build & Push (kaniko)
-        run: |
-          set -e
-          mkdir -p /kaniko/.docker
-          # Grava a chave da SA em arquivo via heredoc (preserva quebras/aspas)
-          cat > /tmp/sa.json <<'__SA_EOF__'
-          ${{ secrets.GCP_SA_KEY }}
-          __SA_EOF__
-          # Docker config: Basic Auth com user `_json_key` + JSON da SA
-          AUTH_B64=$(printf '_json_key:%s' "$(cat /tmp/sa.json)" | base64 -w0)
-          cat > /kaniko/.docker/config.json <<EOF
-          {
-            "auths": {
-              "${{ secrets.AR_LOCATION }}-docker.pkg.dev": { "auth": "${AUTH_B64}" }
-            }
-          }
-          EOF
-          /kaniko/executor \
-            --context dir://. \
-            --dockerfile Dockerfile \
-            --destination "${IMG}" \
-            --cache=true \
-            --cache-ttl=168h \
-            --snapshot-mode=redo \
-            --use-new-run
-
-  # Deploy só roda em push pra master/main, depois do build OK.
-  # Usa runner default (node:18-bullseye) — instala kubectl + gke-auth-plugin.
-  deploy:
-    runs-on: ubuntu-latest
-    needs: build
-    if: github.event_name == 'push'
     steps:
       - uses: actions/checkout@v4
 
+      # Instala kubectl + auth plugin (gcloud já vem via setup-gcloud).
+      # Build é feito remoto via Cloud Build (não precisa Docker no runner).
       - name: Install kubectl + gke-auth-plugin
         run: |
           apt-get update -qq
@@ -73,24 +36,63 @@ jobs:
         with:
           project_id: ${{ secrets.GCP_PROJECT }}
 
-      - name: Deploy hml2
+      - name: Build & push (Cloud Build, sem Docker local)
+        run: |
+          set -e
+          IMG="${IMAGE_BASE}/${{ gitea.event.repository.name }}:lab-${{ gitea.run_number }}"
+          # --gcs-source-staging-dir: pula o auto-detect que precisa de
+          #   storage.buckets.list (project-scope). gitea-cd só tem grant
+          #   na bucket _cloudbuild, não no projeto inteiro.
+          # --async: gcloud retorna assim que o build é enfileirado. Sem
+          #   isso, gcloud tenta streamar Cloud Logging, exige Viewer/Owner
+          #   no projeto, e --suppress-logs nessa versão do CLI ainda dá
+          #   exit != 0 quando não consegue ler. Polling abaixo é o trade.
+          BUILD_ID=$(gcloud builds submit \
+            --tag "$IMG" \
+            --project=${{ secrets.GCP_PROJECT }} \
+            --timeout=30m \
+            --gcs-source-staging-dir="gs://${{ secrets.GCP_PROJECT }}_cloudbuild/source" \
+            --async \
+            --format="value(id)")
+          echo "Cloud Build kicked off: $BUILD_ID"
+          # Poll até terminar. gcloud builds describe usa cloudbuild.builds.get
+          # (já incluído em roles/cloudbuild.builds.editor).
+          while true; do
+            STATUS=$(gcloud builds describe "$BUILD_ID" \
+              --project=${{ secrets.GCP_PROJECT }} \
+              --region=global \
+              --format="value(status)")
+            echo "[$(date -u +%H:%M:%S)] build $BUILD_ID: $STATUS"
+            case "$STATUS" in
+              SUCCESS) break ;;
+              FAILURE|INTERNAL_ERROR|TIMEOUT|CANCELLED|EXPIRED)
+                echo "::error::Cloud Build $STATUS — ver console: https://console.cloud.google.com/cloud-build/builds/$BUILD_ID?project=${{ secrets.GCP_PROJECT }}"
+                exit 1
+                ;;
+            esac
+            sleep 15
+          done
+          echo "IMG=$IMG" >> $GITHUB_ENV
+
+      - name: Deploy hml2 (apenas em push pra master/main)
+        if: github.event_name == 'push'
         env:
           USE_GKE_GCLOUD_AUTH_PLUGIN: "True"
         run: |
           gcloud container clusters get-credentials ${{ secrets.GKE_CLUSTER }} --region ${{ secrets.GKE_REGION }} --project ${{ secrets.GCP_PROJECT }}
           NS=${{ secrets.K8S_NAMESPACE }}
 
-          # 1) Aplica manifests (idempotente)
+          # 1) Aplica manifests (idempotente — cria PVC/Service/Ingress/Deployment se faltarem)
           if [ -d k8s ]; then
             kubectl apply -n "$NS" -f k8s/
           fi
 
-          # 2) Atualiza imagem
+          # 2) Atualiza image
           DEPLOYMENT="${{ gitea.event.repository.name }}-deployment"
           if kubectl get deployment "$DEPLOYMENT" -n "$NS" >/dev/null 2>&1; then
             CONTAINER=$(kubectl get deployment "$DEPLOYMENT" -n "$NS" -o jsonpath='{.spec.template.spec.containers[0].name}')
-            kubectl set image deployment/"$DEPLOYMENT" -n "$NS" "$CONTAINER=${IMG}"
+            kubectl set image deployment/"$DEPLOYMENT" -n "$NS" "$CONTAINER=$IMG"
             kubectl rollout status deployment/"$DEPLOYMENT" -n "$NS" --timeout=600s
           else
-            echo "Deployment $DEPLOYMENT não existe — kubectl apply acabou de criar (1º deploy)"
+            echo "Deployment $DEPLOYMENT não existe no ns $NS — pulei set image (provavelmente é o 1º deploy e o kubectl apply acabou de criar)"
           fi

Dockerfile

@@ -7,7 +7,7 @@ ARG VANNA_UPSTREAM_COMMIT=365d0617c1a4567ffee1b19b40c27feb4206bfcf
 # ============================================================================
 # Stage 1 — webcomponent (Node)
 # ============================================================================
-FROM node:18-bookworm-slim AS webcomponent
+FROM node:20-bookworm-slim AS webcomponent
 ARG VANNA_UPSTREAM_COMMIT
 RUN apt-get update && apt-get install -y --no-install-recommends git ca-certificates \
  && rm -rf /var/lib/apt/lists/*