fixing cleanup old container versions

Author: Markus Koch

.github/workflows/cleanup-old-containers.yml

@@ -1,5 +1,7 @@
 name: Cleanup Old SAP-EE Containers
-# currently does not work due to GITHUB TOKEN not support in api.github.com
+# Token: GITHUB_TOKEN funktioniert nicht ("missing field `id`", siehe
+# https://github.com/snok/container-retention-policy/issues/119). Es wird ein klassischer PAT
+# benötigt. Anleitung: siehe DEVELOPER.md Abschnitt "Cleanup-Workflow (GHCR)".
 on:
   # Erlaube manuelles Starten über die GitHub UI
   workflow_dispatch:
@@ -16,10 +18,12 @@ jobs:
     steps:
       # Caution may have issues with multiarch images - see https://github.com/snok/container-retention-policy?tab=readme-ov-file#examples
       - name: Delete old sap-ee container images
-        uses: snok/container-retention-policy@v3.0.0
+        uses: snok/container-retention-policy@v3.0.1
         with:
-          account: ${{ github.actor}}
-          token: ${{ secrets.GITHUB_TOKEN }}
+          # Für Organisation: Org-Name; für User-Repos: wörtlich "user" (laut Action-Doku)
+          account: ${{ github.event.repository.owner.type == 'User' && 'user' || github.repository_owner }}
+          # Klassischer PAT mit read:packages + delete:packages (GITHUB_TOKEN funktioniert nicht)
+          token: ${{ secrets.GHCR_CLEANUP_TOKEN }}
           image-names: sap-ee
           image-tags: "dev*"
           cut-off: 6w

DEVELOPER.md

@@ -108,6 +108,28 @@ For the podman login command use your github username with a personal access tok
 > `WARNING: image platform (linux/amd64/v8) does not match the expected platform (linux/amd64)`
 > It can be safely ignored
 
+## Cleanup-Workflow (GHCR)
+
+Der Workflow `.github/workflows/cleanup-old-containers.yml` löscht alte Container-Images (z. B. `sap-ee:dev*`) aus dem GitHub Container Registry der Organisation. Mit dem temporären `GITHUB_TOKEN` tritt der Fehler „missing field `id`“ auf; es wird ein **klassischer Personal Access Token (PAT)** benötigt.
+
+### Token anlegen (einmalig)
+
+1. **PAT erstellen** (als Benutzer mit Schreibrechten auf die Packages der Organisation):
+   - GitHub → dein Profil (oben rechts) → **Settings** → **Developer settings** → **Personal access tokens** → **Tokens (classic)** → **Generate new token (classic)**.
+   - Scopes: **`read:packages`** und **`delete:packages`** anhaken.
+   - Unter „Organization access“ die gewünschte Organisation (z. B. `sap-linuxlab`) auf **Grant** setzen, damit der Token auf die Org-Packages zugreifen darf.
+   - Token erzeugen und den Wert sicher kopieren (nur einmal sichtbar).
+
+2. **Secret im Repository oder in der Organisation ablegen:**
+   - **Variante A – nur dieses Repo:** Repository → **Settings** → **Secrets and variables** → **Actions** → **New repository secret**. Name: `GHCR_CLEANUP_TOKEN`, Value: der PAT.
+   - **Variante B – mehrere Repos:** Organisation → **Settings** → **Secrets and variables** → **Actions** → **New organization secret**. Name: `GHCR_CLEANUP_TOKEN`, Value: der PAT. Zugriff auf „Repository access“ beschränken (z. B. nur dieses Repo), wenn gewünscht.
+
+Der Workflow nutzt `account: ${{ github.repository_owner }}`, also den Organisationsnamen – bei Repos unter einer Organisation ist keine weitere Anpassung nötig.
+
+### Alternative Action
+
+Die offizielle Action `actions/delete-package-versions` funktioniert mit `GITHUB_TOKEN`, unterstützt für Container-Packages aber **keine Tag-Muster** (z. B. `dev*`); gefiltert wird nach API-Versionsnamen (Digest), nicht nach Tags. Für „nur `dev*`-Tags bereinigen, 5 behalten, älter als 6 Wochen löschen“ ist `snok/container-retention-policy` mit PAT die passende Wahl.
+
 # Changes for building supported EE for RHAAP
 
 If you want to add supported Automation Hub content, get your Automation Hub token from [here](https://console.redhat.com/ansible/automation-hub/token) and export it in the environment variable `ANSIBLE_GALAXY_SERVER_RH_CERTIFIED_REPO_TOKEN`, login to `registry.redhat.io` with your RedHat credentials and run the following commands: