Stack IA self-hosted : Gitea, runners et Ollama sur VPS

Créez un répertoire de projet et un fichier docker-compose.yml qui déclare trois services : gitea, ollama et runner. Placez tous les volumes dans un sous-dossier data/ pour faciliter les sauvegardes.

mkdir -p ~/gitea-stack/data/{gitea,ollama,runner}
cd ~/gitea-stack

Le fichier déclare un réseau interne ai-net sur lequel les trois services communiquent. Ollama n'est pas exposé sur l'hôte : seul le runner peut l'atteindre via le réseau Docker.

cat > docker-compose.yml << 'EOF'
version: "3.8"

networks:
  ai-net:
    driver: bridge

volumes:
  gitea-data:
  ollama-data:
  runner-data:

services:
  gitea:
    image: gitea/gitea:latest
    restart: unless-stopped
    networks: [ai-net]
    ports:
      - "3000:3000"
      - "2222:22"
    volumes:
      - gitea-data:/data
    environment:
      - GITEA__server__DOMAIN=git.votredomaine.com
      - GITEA__server__ROOT_URL=https://git.votredomaine.com
      - GITEA__actions__ENABLED=true

  ollama:
    image: ollama/ollama:latest
    restart: unless-stopped
    networks: [ai-net]
    volumes:
      - ollama-data:/root/.ollama

  runner:
    image: gitea/act_runner:latest
    restart: unless-stopped
    networks: [ai-net]
    volumes:
      - runner-data:/data
      - /var/run/docker.sock:/var/run/docker.sock
    environment:
      - GITEA_INSTANCE_URL=http://gitea:3000
      - GITEA_RUNNER_REGISTRATION_TOKEN=${RUNNER_TOKEN}
      - GITEA_RUNNER_NAME=local-runner
      - OLLAMA_URL=http://ollama:11434
EOF

Démarrez uniquement Gitea en premier pour terminer l'installation initiale et générer le token d'enregistrement du runner.

docker compose up -d gitea

Ouvrez http://<ip-du-vps>:3000 dans votre navigateur, terminez l'assistant d'installation, puis allez dans Paramètres du site → Actions → Runners pour créer un token d'enregistrement. Notez ce token — vous en aurez besoin à l'étape suivante.

Démarrez Ollama et téléchargez votre modèle. Pour un pipeline de revue de code, qwen2.5-coder:7b ou deepseek-coder:6.7b offrent un bon rapport qualité/ressources.

docker compose up -d ollama
# télécharger un modèle de code
docker exec gitea-stack-ollama-1 ollama pull qwen2.5-coder:7b
# vérifier que l'API répond sur le réseau interne
docker run --rm --network gitea-stack_ai-net curlimages/curl \
  http://ollama:11434/api/tags

La réponse JSON liste les modèles disponibles — confirmation que l'API Ollama est accessible depuis le réseau Docker interne.

Créez un fichier .env avec le token récupéré à l'étape 3, puis démarrez le runner.

echo "RUNNER_TOKEN=votre_token_ici" > .env
docker compose up -d runner
# vérifier que le runner est bien enregistré
docker compose logs runner | tail -20

Vérifiez dans Paramètres du site → Actions → Runners que votre runner apparaît avec le statut Actif.

Dans un dépôt Gitea, créez .gitea/workflows/review.yml. Le workflow clone le code, appelle l'endpoint /api/chat d'Ollama via curl et poste le résultat en commentaire de la pull request.

cat > .gitea/workflows/review.yml << 'EOF'
name: AI Code Review
on:
  pull_request:
    types: [opened, synchronize]

jobs:
  review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Revue de code via Ollama
        run: |
          DIFF=$(git diff HEAD~1 --unified=5 | head -200)
          curl -s ${OLLAMA_URL:-http://ollama:11434}/api/chat \
            -H 'Content-Type: application/json' \
            -d "{\"model\": \"qwen2.5-coder:7b\", \"stream\": false,
                 \"messages\": [{\"role\": \"user\",
                 \"content\": \"Revue ce diff Git en français : $DIFF\"}]}" \
            | jq -r '.message.content'
EOF

Poussez ce fichier sur votre forge Gitea — le runner le détecte et lance le job sur le réseau interne, sans aucun accès à Internet.

Placez Gitea derrière nginx ou Caddy avec un certificat Let's Encrypt pour exposer la forge sur git.votredomaine.com. Le port 3000 ne doit plus être accessible directement depuis l'extérieur.

# exemple nginx minimal
cat > /etc/nginx/sites-available/gitea.conf << 'EOF'
server {
    listen 443 ssl;
    server_name git.votredomaine.com;
    ssl_certificate /etc/letsencrypt/live/git.votredomaine.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/git.votredomaine.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}
EOF
nginx -t && systemctl reload nginx

Ollama reste uniquement sur le réseau Docker interne et n'est jamais exposé sur Internet.