CI: ghcr の devcontainer image でビルドして apt install を省く

[thawk105]

概要

build.yml の job を ghcr.io/thawk105/ccbench-devcontainer:latest の中で実行するようにする。devcontainer image にはすでに build-essential / autoconf / automake / libtool / pkg-config / ccache / cmake / libboost-filesystem-dev / libgflags-dev / libgoogle-glog-dev / g++ が揃っているので、毎回の apt-get install (現状 30秒〜1分) とそれを包むための apt cache 操作が丸ごと不要になる。

副次効果として、CI のツールチェインが手元の devcontainer と完全に同じ image になり、#44 で起きた「local だと通るのに CI で落ちる」型の事故も構造的に消える。

変更

   build:
     runs-on: ubuntu-latest
+    container:
+      image: ghcr.io/thawk105/ccbench-devcontainer:latest

-      - name: Cache apt packages
-        ...
-      - name: Install apt dependencies
-        ...
+    (削除)

認証

ghcr image は public:

$ curl -s "https://ghcr.io/token?service=ghcr.io&scope=repository:thawk105/ccbench-devcontainer:pull" \
    | python3 -c 'import sys,json;print(json.load(sys.stdin)["token"])'
…anonymous token…

$ curl -sI -H "Authorization: Bearer $TOKEN" \
    -H "Accept: application/vnd.docker.distribution.manifest.v2+json" \
    https://ghcr.io/v2/thawk105/ccbench-devcontainer/manifests/latest
HTTP/2 200
content-type: application/vnd.docker.distribution.manifest.v2+json

anonymous bearer-token pull が通るので、credentials: セクションは不要。

トレードオフ

• +: apt install (~30〜60s) + apt-cache restore/save が消える
• +: 手元 devcontainer と toolchain が同一になる
• −: 代わりに image pull (1回 数秒〜10秒) が初手に入る。実際の数値は CI runner の Docker layer cache 状況に依る。GHA runner では layer は per-runner で揮発的だが、同一 image を別 job で連続 pull すると数秒で済む
• −: image が壊れたタイミングで CI が回らなくなるリスク。これは devcontainer-image.yml の rebuild 経路でしか起きないので、.devcontainer/** を触るときだけ注意すれば良い

注意点 (#45 との関係)

#45 (devcontainer を ubuntu:22.04 → 24.04 に bump) と独立。

• devcontainer: Ubuntu 24.04 (GCC 13) に上げて CI と compiler を一致させる #45 マージ 前 にこの PR をマージ → CI は古い 22.04 image (GCC 11) で走る。-Werror=maybe-uninitialized は GCC 11 で false negative なだけで build は通る (緑のまま)
• devcontainer: Ubuntu 24.04 (GCC 13) に上げて CI と compiler を一致させる #45 マージ 後 にこの PR をマージ → 新 24.04 image (GCC 13) で走る (本来の意図)

どちらの順序でも壊れない。

Test plan

• image が public で anonymous pull できることを確認
• CI 緑
• 旧 build.yml と新 build.yml の所要時間を比較 (apt install ステップ ~30〜60s が消えるはず)