ci-python ohne Docker-Daemon bauen: Kaniko als Docker-Schritt (devops #419)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.gitea/workflows/probe-419.yml

@@ -1,21 +1,45 @@
 name: Probe 419 - Image ohne Docker-Daemon
 
-# Nur Probe fuer devops #419, wird vor dem Merge wieder entfernt. Baut, pusht nicht.
+# Nur Probe fuer devops #419, wird vor dem Merge wieder entfernt. Gleiche
+# Schritte wie build-ci-python.yml, pusht aber nur das Tag :probe-419.
 
 on:
   push:
     branches: [probe/419-ohne-daemon]
 
+env:
+  REGISTRY: gitea.inmedias.it
+  IMAGE: sko/ci-python
+
 jobs:
-  kaniko-schritt:
+  build:
     runs-on: inmedias-zone
     steps:
       - uses: actions/checkout@v4
-      - name: Bauen mit Kaniko als Docker-Schritt
+
+      # Kaniko liest die Zugangsdaten aus $DOCKER_CONFIG/config.json. Der
+      # Docker-Schritt sieht vom Job-Container nur den Arbeitsbereich, also
+      # muss die Datei dort liegen - ausserhalb von python/, damit sie nicht
+      # im Build-Kontext landet.
+      - name: Registry-Zugang fuer Kaniko
+        env:
+          REGISTRY_USER: ${{ secrets.REGISTRY_USER }}
+          REGISTRY_TOKEN: ${{ secrets.REGISTRY_TOKEN }}
+        run: |
+          mkdir -p .kaniko-docker
+          auth=$(printf '%s:%s' "$REGISTRY_USER" "$REGISTRY_TOKEN" | base64 -w0)
+          printf '{"auths":{"%s":{"auth":"%s"}}}' "$REGISTRY" "$auth" > .kaniko-docker/config.json
+
+      - name: Build & push
         uses: docker://ghcr.io/osscontainertools/kaniko:debug@sha256:7ab44d0131c3051b6dea128067e258c7afb5c4815082a93b9cf6c624f2140bf0
+        env:
+          DOCKER_CONFIG: ${{ github.workspace }}/.kaniko-docker
         with:
           args: >-
             --context=dir://${{ github.workspace }}/python
             --dockerfile=${{ github.workspace }}/python/Dockerfile
-            --no-push
-            --verbosity=info
+            --destination=${{ env.REGISTRY }}/${{ env.IMAGE }}:probe-419
+
+      - name: Registry-Zugang entfernen
+        if: always()
+        run: rm -rf .kaniko-docker