Repository navigation
Security-Review weicht ohne Guthaben auf ein zweites Konto aus - #33
Merged
Merged
Conversation
This was referenced Oct 10, 2026
Security-Review: Freigabe, zweites Konto, Nachweis eines neuen Pins
opengewerk/opengewerk-kanzlei#50
Merged
Merged
Security-Review: Freigabe, zweites Konto, Nachweis eines neuen Pins
opengewerk/opengewerk-website#21
Merged
Musiker15
added a commit
to opengewerk/opengewerk-api-spec
that referenced
this pull request
Oct 10, 2026
) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an opengewerk/opengewerk-kanzlei#49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
Musiker15
added a commit
to opengewerk/opengewerk-kanzlei
that referenced
this pull request
Oct 10, 2026
) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an #49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
Musiker15
added a commit
to opengewerk/opengewerk
that referenced
this pull request
Oct 10, 2026
…589) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an opengewerk/opengewerk-kanzlei#49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Das Security-Review läuft über das API-Guthaben eines Kontos. Ist es aufgebraucht, endete das Review bisher ohne Bericht, und jeder PR wartete auf Moritz. Jetzt steht ein zweites Konto dahinter, angemeldet wie das erste über Workload Identity Federation, ohne gespeicherten Schlüssel. Gewünscht von Moritz am 10.10.2026.
Was sich ändert
ANTHROPIC_FALLBACK_FEDERATION_RULE_ID,ANTHROPIC_FALLBACK_ORGANIZATION_ID,ANTHROPIC_FALLBACK_SERVICE_ACCOUNT_IDundANTHROPIC_FALLBACK_WORKSPACE_ID(schon gesetzt). Fehlen sie, bleibt alles wie bisher.error: "billing_error", das Claude Code bei "Credit balance is too low" schreibt, oder ein Ergebnis mitis_error, dessen Text das Guthaben oder das Ausgabelimit des Workspace nennt ("specified API usage limits"). Text des Agenten zählt nicht, ein erfolgreicher Lauf auch dann nicht. Jeder andere Fehler wechselt das Konto nicht.Sandbox, Rechte und Bericht bleiben, wie sie sind. Die Aufrufe in den Repositories werden danach auf den Commit dieses PRs gehoben, zusammen mit #32.
Geprüft
error: "billing_error".