---
type: issue
id: "0084"
status: next
created: 2026-08-02
milestone: M1
priority: medium
due: 2026-09-01
projekt: gitops
gitlab_iid: "51"
related: []
---
# CI: CANONIZE_TOKEN für die automatische TURN-Rotation hinterlegen

> Adoptiert aus [gitops#51](https://git.lab/axion1337.chat/axion1337.chat-gitops/-/issues/51) (2026-08-18, ADR-0019). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei.

Der Job `canonize_rotation` in `.gitlab-ci.yml` übernimmt die monatliche TURN-Rotation automatisch (kein Handgriff mehr, kein Kalendereintrag). Der Schedule läuft, zwei Probeläufe sind durch — **es fehlt nur noch das Push-Token.**

## Was zu tun ist (2 Minuten, braucht deine Rechte)

1. *Settings → Access Tokens* in diesem Projekt: Token anlegen
   - Name z. B. `canonize-rotation`
   - Rolle **Maintainer** (nötig, weil `main` protected ist)
   - Scope **`write_repository`** — mehr nicht
   - Ablauf: setzen und im Kalender vormerken, sonst steht der Job irgendwann still
2. *Settings → CI/CD → Variables*: Variable **`CANONIZE_TOKEN`** mit dem Wert, **masked** und **protected**

Danach nichts weiter — der nächste Lauf nimmt sie von selbst.

## Warum das nötig ist

Der Rotations-CronJob läuft im Cluster und erreicht git.lab nicht; er pusht seinen Branch nach Gitea. Von dort muss die Rotation über git.lab zurück, sonst überschreibt sie der nächste Mirror-Push und Flux spielt still das **alte** Shared Secret wieder ein — ein Fehler, der kein Symptom erzeugt.

## Stand

| | |
|---|---|
| Job + Doku | ✅ `02c60cb`, CLAUDE.md in beiden Repos |
| Schedule (täglich 17:05) | ✅ angelegt |
| Probelauf | ✅ Pipeline 161 grün: „Keine offene Rotation" |
| `CANONIZE_TOKEN` | ⬜ **dieses Issue** |

Bis dahin ist nichts kaputt: Ohne offene Rotation läuft der Job grün durch. Erst wenn am 01.09. wirklich rotiert wird und das Token fehlt, bricht er ab — laut und sichtbar, statt still das Falsche zu tun.

Nebenbei aufgefallen: Der Branch `turn-secret-rotation-20260728-192656` liegt auf git.lab und Gitea, steckt aber längst in `main` — eine Karteileiche vom Juli. Kann weg, ist aber harmlos.