feat: общая фабрика CI/CD для сервисов

.github/workflows/docs.yml

@@ -9,5 +9,12 @@ permissions:
   contents: read
 
 jobs:
+  workflow:
+    name: Workflow syntax
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v7
+      - name: Проверить GitHub Actions
+        run: docker run --rm -v "$GITHUB_WORKSPACE:/repo" -w /repo rhysd/actionlint:1.7.12 -color
   docs:
     uses: ./.github/workflows/reusable-docs.yml

.github/workflows/reusable-container.yml

@@ -55,3 +55,14 @@ jobs:
           subject-name: ghcr.io/${{ github.repository_owner }}/${{ inputs.image-name }}
           subject-digest: ${{ steps.build.outputs.digest }}
           push-to-registry: true
+      - name: Установить Cosign
+        if: github.event_name != 'pull_request'
+        uses: sigstore/cosign-installer@v4.0.0
+        with:
+          cosign-release: v3.1.3
+      - name: Подписать образ через GitHub OIDC
+        if: github.event_name != 'pull_request'
+        env:
+          IMAGE: ghcr.io/${{ github.repository_owner }}/${{ inputs.image-name }}
+          DIGEST: ${{ steps.build.outputs.digest }}
+        run: cosign sign --yes "${IMAGE}@${DIGEST}"

.github/workflows/reusable-security.yml

@@ -0,0 +1,30 @@
+name: Reusable security
+
+on:
+  workflow_call:
+
+permissions:
+  contents: read
+
+jobs:
+  security:
+    name: Security
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v7
+        with:
+          fetch-depth: 0
+      - name: Найти случайно добавленные секреты
+        uses: gitleaks/gitleaks-action@v2
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+      - name: Проверить файлы и IaC
+        uses: aquasecurity/trivy-action@v0.36.0
+        with:
+          scan-type: fs
+          scan-ref: .
+          scanners: vuln,secret,misconfig
+          severity: CRITICAL,HIGH
+          ignore-unfixed: true
+          exit-code: "1"
+

.gitignore

@@ -0,0 +1,6 @@
+.idea/
+.vscode/
+site/
+.tmp-site/
+*.log
+

README.md

@@ -8,6 +8,8 @@
 - шаблоны issue и pull request;
 - общие CI/CD-процессы;
 - единые правила документации и проверки репозиториев.
+- шаблоны CI для Java, Python и Node;
+- каркас обязательной документации нового сервиса.
 
 Код сервисов здесь не хранится. Каждый сервис находится в своей репе.
 
@@ -19,6 +21,8 @@
 - `profile/README.md` — главная страница организации.
 - `docs/` — правила и устройство этого репозитория.
 - `scripts/check-docs.ps1` — простая проверка обязательной документации.
+- `workflow-templates/` — короткие CI-шаблоны с test, security, SBOM и подписью.
+- `service-template/` — README, карточка сервиса, CODEOWNERS и правила AI-агентов.
 
 ## Проверка
 

docs/service-template.md

@@ -0,0 +1,10 @@
+# Шаблон нового сервиса
+
+GitHub показывает workflow templates при создании Actions workflow. Для Java, Python и Node есть
+отдельные короткие файлы, но результат одинаков: тесты, поиск секретов, Trivy, сборка контейнера,
+SBOM, provenance и keyless-подпись Cosign.
+
+Папка `service-template` содержит обязательную документацию. `SERVICE.md` — быстрый индекс границ
+сервиса. Он не генерируется из кода, потому что ответственность сервиса — архитектурное решение.
+Технические API следует генерировать из OpenAPI и AsyncAPI отдельно.
+

mkdocs.yml

@@ -6,6 +6,7 @@ nav:
   - Главная: index.md
   - Архитектура: architecture.md
   - Разработка: development.md
+  - Шаблон сервиса: service-template.md
   - Эксплуатация: runbook.md
   - Решения:
       - Документация как код: decisions/0001-docs-as-code.md

service-template/AGENTS.md

@@ -0,0 +1,6 @@
+# Правила для AI-агентов
+
+Сначала прочитай `SERVICE.md`, README и открытые ADR. Не меняй границы сервиса без нового ADR.
+Пиши тест до поведения. Используй простые английские имена. Не храни секреты, настоящие данные и
+адреса окружений. Обновляй `SERVICE.md`, контракт и runbook в том же pull request.
+

service-template/CODEOWNERS

@@ -0,0 +1,3 @@
+* @portable-agent/backend
+.github/ @portable-agent/platform
+

service-template/README.md

@@ -0,0 +1,23 @@
+# Название сервиса
+
+Одним предложением: что сервис делает и чего он не делает.
+
+## Ответственность
+
+- принимает: укажи тип входа;
+- возвращает: укажи результат;
+- хранит: укажи свои данные;
+- не отвечает за: укажи соседнюю область.
+
+## Локальный запуск
+
+Запиши одну команду запуска и одну команду всех проверок.
+
+## API и события
+
+Ссылки на OpenAPI/AsyncAPI. Изменение контракта сначала получает тест.
+
+## Зависимости
+
+Перечисли только прямые сервисы и инфраструктуру. Секреты и настоящие адреса не добавляй.
+

service-template/SERVICE.md

@@ -0,0 +1,14 @@
+# Карточка сервиса
+
+Этот файл — короткая память для людей и AI-агентов. Обновляй его при изменении границ сервиса.
+
+| Поле | Значение |
+|---|---|
+| Ответственность | change-me |
+| Владелец | portable-agent/change-me |
+| Язык | change-me |
+| Входящие контракты | change-me |
+| Исходящие контракты | change-me |
+| Свои данные | change-me |
+| SLO | не определён до бизнес-обсуждения |
+

workflow-templates/java-service.properties.json

@@ -0,0 +1,2 @@
+{"name":"Portable Agent Java service","description":"Тесты, security scan, container, SBOM и подпись для Java-сервиса.","iconName":"octicon package","categories":["Java"]}
+

workflow-templates/java-service.yml

@@ -0,0 +1,23 @@
+name: CI
+on:
+  pull_request:
+  push:
+    branches: [main]
+permissions:
+  contents: read
+jobs:
+  test:
+    uses: portable-agent/.github/.github/workflows/reusable-java.yml@main
+  security:
+    uses: portable-agent/.github/.github/workflows/reusable-security.yml@main
+  container:
+    needs: [test, security]
+    permissions:
+      contents: read
+      packages: write
+      id-token: write
+      attestations: write
+    uses: portable-agent/.github/.github/workflows/reusable-container.yml@main
+    with:
+      image-name: ${{ github.event.repository.name }}
+

workflow-templates/node-service.properties.json

@@ -0,0 +1,2 @@
+{"name":"Portable Agent Node service","description":"Тесты, security scan, container, SBOM и подпись для Node-сервиса.","iconName":"octicon package","categories":["JavaScript","TypeScript"]}
+

workflow-templates/node-service.yml

@@ -0,0 +1,23 @@
+name: CI
+on:
+  pull_request:
+  push:
+    branches: [main]
+permissions:
+  contents: read
+jobs:
+  test:
+    uses: portable-agent/.github/.github/workflows/reusable-node.yml@main
+  security:
+    uses: portable-agent/.github/.github/workflows/reusable-security.yml@main
+  container:
+    needs: [test, security]
+    permissions:
+      contents: read
+      packages: write
+      id-token: write
+      attestations: write
+    uses: portable-agent/.github/.github/workflows/reusable-container.yml@main
+    with:
+      image-name: ${{ github.event.repository.name }}
+

workflow-templates/python-service.properties.json

@@ -0,0 +1,2 @@
+{"name":"Portable Agent Python service","description":"Тесты, security scan, container, SBOM и подпись для Python-сервиса.","iconName":"octicon package","categories":["Python"]}
+

workflow-templates/python-service.yml

@@ -0,0 +1,23 @@
+name: CI
+on:
+  pull_request:
+  push:
+    branches: [main]
+permissions:
+  contents: read
+jobs:
+  test:
+    uses: portable-agent/.github/.github/workflows/reusable-python.yml@main
+  security:
+    uses: portable-agent/.github/.github/workflows/reusable-security.yml@main
+  container:
+    needs: [test, security]
+    permissions:
+      contents: read
+      packages: write
+      id-token: write
+      attestations: write
+    uses: portable-agent/.github/.github/workflows/reusable-container.yml@main
+    with:
+      image-name: ${{ github.event.repository.name }}
+