kcl: PushKustomizeBase rendert anonym -- ghcr antwortet mit 429, jeder Kustomize-Push scheitert #391

Was passiert

Seit dem 2026-09-29 scheitert push-kustomize-base (Modul kcl, v0.132.0) reproduzierbar beim Rendern, noch vor dem Push. KCL lädt seine Abhängigkeiten anonym aus ghcr, und ghcr antwortet mit 429:

failed to get package with '1.31' from 'ghcr.io/kcl-lang/k8s'
failed to resolve 1.31: GET "https://ghcr.io/v2/kcl-lang/k8s/manifests/1.31":
  response status code 429: toomanyrequests: retry-after: 1.014828ms, allowed: 44000/minute

Belegt:

• in der CI von feat(wled): Effekt-IDs am Gerät nachschlagen (/json/eff) statt fester Tabelle homerun2-light-catcher#78: beide Jobs push-kustomize (light-catcher, wled-mock), drei Läufe über rund 20 Minuten, jedes Mal 429
• lokal nachgestellt, mit ttl.sh als Ziel und ohne ghcr-Zugangsdaten, gleicher Fehler:

  dagger -m github.com/stuttgart-things/dagger/kcl@v0.132.0 call push-kustomize-base \
    --source ./kcl --parameters-file ./tests/kcl-deploy-profile.yaml \
    --address ttl.sh/<x> --tag 1h --user env:U --password env:P
  

Die Folge: Die Preview-Umgebungen aus stuttgart-things/stuttgart-things#3065 (app-dev) bekommen ihr Kustomize-Artefakt pr-<n>-<sha> nicht. Die Applications für light-catcher und wled-mock bleiben auf Sync „Unknown“. Heute Morgen (05:54 UTC) lief derselbe Workflow noch durch.

Warum es in der CI wie ein Push-Fehler aussieht

Dagger wertet verzögert aus. Im CI-Log steht nur

withExec sh -c 'oras push ghcr.io/…-kustomize:pr-78-<sha> .'
Container.stdout ERROR
! exit code: 1

Das KCL-Rendern scheitert aber davor. Seine Ausgabe (das 429) zeigt Dagger nicht, erst --progress plain lokal macht sie sichtbar. Auf die Zeile mit dem Push schaut man zuerst, sie ist aber die falsche Fährte.

Ursache im Modul

kcl/kustomize.go, PushKustomizeBase: Die Zugangsdaten (user/password) kommen herein, genutzt werden sie aber erst nach dem Rendern für oras login. Das Rendern selbst (kcl run über Run) läuft anonym. Anonyme Pulls von ghcr sind gedrosselt, angemeldete haben deutlich höhere Grenzen.

Vorschlag

1. Vor dem Rendern bei der Registry anmelden: kcl registry login <registry> -u $USER -p $PASSWORD, mit denselben Secrets, die der Push ohnehin bekommt. Wie in kcl/push.go schon für kcl mod push. Für ghcr-Abhängigkeiten reicht das Workflow-Token (packages: read).
2. Bei 429 wiederholen: ein paar Versuche mit Backoff um den Abhängigkeits-Pull bzw. kcl run. retry-after liegt im Millisekundenbereich; KCL selbst wiederholt nicht.
3. Die Fehlerausgabe des Renderns sichtbar machen: Der Exit-Code des KCL-Schritts sollte mit seiner stderr hochkommen, nicht als Container.stdout ERROR am Push.

Danach das Modul releasen und dagger-kcl-module in stuttgart-things/github-workflow-templates (call-push-kustomize.yaml, heute v0.132.0) anheben. Das betrifft jedes Repo, das Kustomize-Basen per PR pusht, also alle homerun2-Komponenten und schmetterpause.

🤖 Generated with Claude Code