Comandos da CLI

Comando	O que faz
oren init	cria um projeto para usar tasks
oren init worker [nome]	cria uma task nova (--template shell|node)
oren add <origem>	adiciona uma task ao registry local do projeto
oren install [ambiente]	resolve imagens para digest e grava oren.lock
oren validate [ambiente]	verifica tudo sem subir container
oren run <ambiente>	executa o pipeline
oren generate <alvo> <ambiente>	traduz para GitLab, GitHub Actions ou Cloud Build
oren authorize <ambiente>	autoriza os acessos do pipeline sem executá-lo
oren doctor	verifica os pré-requisitos
oren cache	espaço ocupado e teto
oren cache prune	libera o não utilizado
oren cache limit <tamanho>	limita o crescimento
oren cache clear	remove o motor e todo o cache

Conta e publicação

Comando	O que faz
oren login	autentica pelo navegador e guarda um token
oren logout	esquece a credencial local — não revoga no servidor
oren whoami	confirma com o servidor quem é o token guardado
oren publish [diretorio]	publica o contrato e as implementações de um worker
oren token list	os tokens da conta, com o último uso de cada
oren token revoke <id>	revoga — imediato e definitivo

Precisam de um registry configurado (ver Instalação) e, menos o login, de credencial. Ver O portal.

logout e token revoke fazem coisas diferentes, e a distinção importa quando o motivo de sair é suspeita de vazamento: o primeiro esquece localmente e o token continua válido no servidor; o segundo o mata.

Opções comuns

Opção	Onde	O que faz
-f, --file	run, validate, install, generate	arquivo de pipeline
-r, --registry	run, validate, install, generate	registry local
-p, --properties	run, validate, authorize, generate	arquivo ou alias de propriedades
-y, --yes	run	autoriza dependências sem confirmação
--resume	run	reaproveita o que a execução anterior produziu
-v, --verbose	run	mostra o progresso do motor
--frozen	install	instala o que o oren.lock pina, ou recusa
-o, --output	generate	grava em arquivo em vez de imprimir
--mode	generate	oren (um job rodando a CLI) ou nativo (um job por step)
--resume	generate	o job retoma, com o cache da plataforma
--template	init worker	shell ou node
-n, --namespace	init worker	organização dona da task
--force	init, init worker	sobrescreve arquivos existentes
-i, --impl	add	qual implementação usar
-p, --pipeline	add	pipeline que recebe o step
--no-step	add	só registra a task; não escreve no oren.yaml
-t, --token	login	cola um token existente, em vez do navegador
-n, --dry-run	publish	mostra o que seria publicado, sem publicar
--private	publish	visível só para a organização
-y, --yes	token revoke	revoga sem confirmar

Variáveis de ambiente

Variável	O que faz
OREN_REGISTRY	onde o catálogo publicado mora; vence o .oren/config.json, que vence o padrão https://oren.sh
OREN_TOKEN	credencial, para CI — dispensa oren login
OREN_LANG	en ou pt; sem ela, o idioma do sistema, e inglês por padrão
OREN_SECRET_<DEP>	o conteúdo de uma dependência sensível, em vez do caminho
OREN_REVISION	a revisão do projeto, quando não há git onde o pipeline roda

Só variáveis com prefixo OREN_ ficam visíveis para ${env.VAR} dentro de um pipeline. As da tabela são da CLI, não do pipeline.

OREN_SECRET_<DEP>

O nome vem da DEPENDÊNCIA, em maiúsculas: gcpCredential vira OREN_SECRET_GCPCREDENTIAL. Ela substitui o conteúdo do que o oren.yaml declara como caminho — o arquivo de credencial existe na sua máquina e não no runner, e sem isso seria preciso ter um pipeline diferente para o CI.

O valor nunca toca o disco do host: entra como secret do motor de execução e é montado direto no container.

Só vale para dependência declarada sensitive no registry de tipos. Deixar o ambiente trocar o caminho de um diretório seria outra coisa, e bem mais perigosa: um source reapontado por variável faria o pipeline construir outro repositório sem nada no arquivo mudar.

Uma dependência escrita como ${env.MINHA_VAR} não usa esse prefixo — ali o pipeline já disse de onde o valor vem, e o nome é o que você escolheu.

OREN_REVISION

Identifica o código que uma execução construiu, e é gravada no estado dela. É o que faz o --resume recusar retomar de outro commit — ver Rodando no CI.

Sem ela, a CLI lê git rev-parse HEAD. Sem git, a conferência simplesmente não acontece: o Oren não exige repositório. Esta variável existe para quem roda sem git e ainda quer a proteção — todo CI tem esse valor com outro nome (COMMIT_SHA, CI_COMMIT_SHA, GITHUB_SHA).

Arquivos

seu-projeto/
├── oren.yaml              # o pipeline
├── oren.lock              # imagens travadas — commite
└── .oren/
    ├── registry/          # contratos e implementações locais
    ├── consent.json       # autorizações — commite
    └── runs/<id>/         # estado da execução — no .gitignore