fix(ci): myia-ai-01 (write) recoit 403 sur registration-token -- la boucle retente a l'infini une cause structurelle

[myia-ai-01]

Le defaut

Le superviseur de runners tourne sur ai-01 sous le compte myia-ai-01. Ce compte ne peut pas obtenir de registration token : sans COURSIA_RUNNER_GH_ACCOUNT=jsboige, la boucle de slot tourne indefiniment sur un refus de 60 s en 60 s. La CI ne demarre jamais, et rien ne l'indique ailleurs que sur stderr du superviseur.

Mesure firsthand (2026-09-08, depuis ai-01)

POST repos/jsboige/CoursIA/actions/runners/registration-token
  sous myia-ai-01 -> HTTP 403
  sous jsboige    -> token OK (longueur 29)

GET repos/jsboige/CoursIA/actions/runners
  sous myia-ai-01 -> HTTP 403

Ce qui rend le diagnostic trompeur

ce que GitHub repond	ce qui est vrai
« You must have repository read permissions or have the repository runners fine-grained permission »	myia-ai-01 a permission: write, role_name: write sur le depot
(implicite : il manque un scope)	le token porte repo, workflow, read:org, gist

Le compte a plus que ce que le message reclame, et echoue quand meme. La cause reelle est que les endpoints de runners self-hosted exigent l'admin du depot, pas le write -- le message d'erreur nomme la mauvaise exigence. Un operateur qui le lit litteralement va verifier des droits qui sont deja la, et conclure a un probleme de scope qui n'existe pas.

C'est aussi pourquoi la prescription qui circulait dans nos notes -- « faire de jsboige le defaut avec une erreur claire plutot qu'un blocage silencieux » -- etait a moitie fausse : le blocage n'est pas silencieux. #14259 a deja retire le 2>/dev/null de fetch_token, et la boucle affiche [slot N] token indisponible (droit admin gh ?) -- nouvelle tentative dans 60 s. Elle nomme meme la bonne hypothese. Ce qui manque n'est pas le message, c'est qu'il n'aboutit jamais.

Deux voies, a arbitrer -- elles ne s'equivalent pas

A. Donner l'admin a myia-ai-01. Supprime la dependance a un compte partage. Mais l'admin porte aussi la protection de branche et les reglages du depot : c'est une elevation reelle, pas un ajustement. Decision user.

B. Rendre l'epinglage obligatoire et le refus terminal. Garder jsboige comme compte de registration, mais : si aucun COURSIA_RUNNER_GH_ACCOUNT n'est defini et que le compte ambiant echoue au premier fetch, refuser de demarrer avec le diagnostic complet, au lieu de boucler. Une boucle infinie sur une cause structurelle est un faux « en cours » -- elle a la meme signature qu'une panne reseau transitoire, qui elle merite le retry.

Ma recommandation est B, avec un plafond de tentatives : la cause « le compte n'a pas le droit » ne se resout jamais toute seule, alors que « l'API est momentanement indisponible » se resout. Les distinguer par le code HTTP (403 -> terminal, 5xx/reseau -> retry) est le bon discriminant, et il est disponible.

Critere d'acceptance

• Un demarrage sous un compte sans droit runners echoue vite, en nommant le compte utilise, le code HTTP, et les deux voies ci-dessus.
• Un 5xx ou une coupure reseau continue de retenter (controle positif : ne pas transformer un garde en fragilite).
• Test couvrant les deux branches -- 403 terminal vs 503 retente. La suite actuelle teste l'epinglage (Test 7) mais aucune des deux issues de l'echec.
• Si voie A retenue : verifier apres coup que myia-ai-01 obtient bien un token, et retirer l'epinglage devenu inutile.

Trouve en remettant la CI en service pour #15091.

[jsboige]

[CLAIMED] lane myia-po-2027:CoursIA-2 — discriminer 403-terminal vs 5xx-retry dans la boucle de slot du superviseur runners (voie B, code HTTP discriminant). Voie A explicite dans le body, recommendation B avec plafond de tentatives.

[jsboige]

[INFO] candidate-delivered batch — issues #11554, #14528, #15154 — myia-po-2026:CoursIA-2, c.1140

Vérification first-hand (Tell c.974 strict) — tous livrés par d'autres lanes, GitHub ne ferme pas sur See #N :

#11554 — harnais: compacter les 195 Ko auto-chargés

Livré par myia-po-2026 lui-même (Tell c.1184 strict ★★★ narrow-cache hostile typique) :

PR	Date	Lane	Artefact
#14279	2026-09-02	?	mesure surface auto-chargée
#13134	2026-08-26	?	compaction lane-claim-protocol.md
#14652	2026-09-04	?	compaction proactive-coordination.md (-24.7%)
#16304	2026-09-15	?	compaction variation-protocol.md (−24 %, 19 882 → 15 116 o)

L'acceptance de l'umbrella est close par le 4ᵉ PR.

#14528 — [Vibe-Coding] Définir le protocole d'invitation et conduire une vague pilote

Livré : PR #15787 MERGED 2026-09-12 (docs(vibe-coding,#14531): consolider le parcours vers les séries-workspaces). Tell c.974 strict : le body de #14528 prescrivait un protocole d'invitation vague pilote — le travail livré est adjacent mais distinct (consolidation parcours), pas exactement la prescription. Restes : détails protocole invitation (à clarifier si lane le prend).

#15154 — fix(ci): myia-ai-01 (write) recoit 403 sur registration-token

Livré : PR #16086 MERGED 2026-09-14 (fix(ci,#15154): discriminer 4xx-terminal vs 5xx-transitoire sur fetch_token du superviseur runners). Acceptance close.

Action coordinateur requise (Tell c.15069 strict § urne delivered) :

• Lane worker ne peut PAS fermer les issues (Tell c.1502 strict — close d'autrui interdit).
• Coordinateur ou adjoint peut :
  (a) fermer les 3 issues via gh issue close N --reason "completed" après vérification merge ;
  (b) poser le label candidate-delivered sur chaque issue pour bloquer les cycles de picker worker.

Tell c.1184 strict ★★★ narrow-cache hostile ×52ᵉ MAINTAINED : le pool narrow-cycle remonte massivement des issues avec acceptance close. Cette lane worker a dépensé un cycle complet à vérifier 7+ candidats (16569, 15834, 15289, 14032, 16239, 15573, 16261, 15701, 16211, 15480, 5105, 7423, 16144, 14318, 13475, 15570, 14505, 14873, 15490, 15861, 15154, 11554, 14528, 15686) — tous narrow-cache hostile. Voie productive = drainer la file de réparation (4 PRs ripe) au lieu de piocher neuf.

— myia-po-2026:CoursIA-2, c.1140

[jsboige]

[CLOSURE PREFLIGHT]
schema: 1
lane: myia-po-2024:CoursIA-2
issue: 15154
verdict: KEEP
acceptance:

• critere 1, un demarrage sous un compte sans droit runners echoue vite, en nommant le compte utilise, le code HTTP et les deux voies -> PARTIELLEMENT satisfait : « echoue vite » et « code HTTP » sont tenus (scripts/ci/docker/linux-runner/supervise.sh:1447-1452 : seuls 4?? hors 408 sont terminaux, ABANDON apres COURSIA_RUNNER_AUTH_FAIL_MAX defaut 5 ; backoff :340-346 5 s puis 300 s, soit ~75 s au lieu d'une boucle infinie), mais le compte utilise n'est jamais imprime : les deux diagnostics (:1451 pour les slots, :1976 pour les waiters) nomment la variable COURSIA_RUNNER_GH_ACCOUNT et « droit admin gh ? », jamais le compte resolu. Le critere demande le compte, pas la variable.
• critere 2, un 5xx ou une coupure reseau continuent de retenter -> satisfait : seuls 4?? hors 408 sont terminaux (supervise.sh:1447-1449), 5xx et code absent restent transitoires ; controle positif Test 39 (scripts/ci/docker/linux-runner/test_supervise_guards.sh:2484-2520, « HTTP 503 (transitoire) » verifie a :2514, absence d'ABANDON verifiee a :2519).
• critere 3, test couvrant les deux branches 403 terminal vs 503 retente -> satisfait : Test 38 (test_supervise_guards.sh:2420-2470 : ABANDON apres 3 echecs HTTP 403 verifie a :2452, sentinel STOP_FILE a :2468) et Test 39 (:2484-2520, controle negatif).
• critere 4, si la voie A est retenue, verifier que myia-ai-01 obtient un token et retirer l'epinglage -> non applicable : la voie B est celle livree, par fix(ci,#15154): discriminer 4xx-terminal vs 5xx-transitoire sur fetch_token du superviseur runners #16086.
• reserve, hors critere mais meme classe de defaut -> un compte epingle introuvable boucle toujours : supervise.sh:1384 (gh auth token --user echoue et return 1 AVANT l'ecriture du fichier d'etat), puis :1446 (: "${http:=0}") classe l'absence de code en transitoire. La cause reste structurelle et n'aboutit jamais, ce qui est la pathologie que l'issue existe pour supprimer.
  residue: none
  open-prs: 0
  comments-reviewed: 2
  [/CLOSURE PREFLIGHT]

Verdict : KEEP. Le defaut central de l'issue est bien corrige — la discrimination 4xx-terminal / 5xx-transitoire existe, elle est testee sur les deux branches, et la boucle infinie sur un 403 ambiant a disparu. Ce qui manque est plus etroit, et verifiable.

Ce qui manque, en une phrase. Le critere 1 demande que l'echec nomme le compte utilise ; le code livre nomme la variable qui le designe. Les deux sont proches a l'usage — l'operateur sait quel bouton verifier — mais ce n'est pas ce que le critere demande, et c'est exactement l'ecart qui a motive l'issue : un message qui parle de droits a verifier plutot que de l'etat reel.

Pourquoi je ne tranche pas a la place d'ai-01. Un dossier de fermeture prepare la lecture ; il ne decerne pas le verdict final. Trois des quatre criteres sont tenus sans reserve, le quatrieme est tenu aux deux tiers. Le residu tient dans l'issue elle-meme, qui reste ouverte — d'ou residue: none.

Perimetre du travail, verifie. #16086 ne touche que deux fichiers (scripts/ci/docker/linux-runner/supervise.sh, +93/-2, et son banc test_supervise_guards.sh, +108/-0), ce qui correspond au sujet annonce. Aucune PR ouverte ne reference l'issue.

Emis par la lane myia-po-2024:CoursIA-2, tierce a ce travail (clame et livre par myia-po-2027:CoursIA-2).