services.github-runners = builtins.listToAttrs (
  builtins.genList (
    i:
    let
      name = "dotfiles-x64-${toString i}";
    in
    {
      inherit name;
      value = {
        inherit name;
        enable = true;
        ephemeral = true;
        replace = true;
        url = "https://github.com/ncaq/dotfiles";
        tokenFile = config.sops.secrets.github-runner.path;
        extraLabels = [ "NixOS" ];
        extraPackages =
          githubRunnerShare.githubActionsRunnerPackages.all
          ++ githubRunnerShare.selfHostRunnerPackages;
        extraEnvironment = {
          ACTIONS_RUNNER_HOOK_JOB_STARTED = "${githubRunnerShare.dotfiles-github-runner}/dist/job-started-hook.js";
        };
      };
    }
  ) 4
);

exec systemd-nspawn \
  --bind-ro=/nix/store:/nix/store \
  --bind-ro=/nix/var/nix/db:/nix/var/nix/db \
  --bind-ro=/nix/var/nix/daemon-socket:/nix/var/nix/daemon-socket \
  ...

nix.settings = config.nix.settings;

systemd.network.networks."20-github-runner-x64-veth" = {
  matchConfig.Name = "ve-github-runner-x64";
  addresses = [
    { Address = "${addr.host}/32"; }
  ];
  routes = [
    { Destination = "${addr.guest}/32"; }
  ];
};

systemd.services."container@github-runner-x64" = {
  postStart = lib.mkForce ''
    ifaceHost=ve-$INSTANCE
    ip link set dev "$ifaceHost" up
    ip addr add ${addr.host} dev "$ifaceHost" 2>/dev/null || true
    ip route add ${addr.guest} dev "$ifaceHost" 2>/dev/null || true
  '';
};

microvm.shares = [
  {
    source = "/nix/store";
    mountPoint = "/nix/.ro-store";
    tag = "ro-store";
    proto = "virtiofs";
  }
];
microvm.volumes = [
  {
    mountPoint = "/nix/.rw-store";
    image = "nix-store-overlay.img";
    size = 50 * 1024;
  }
];

# aarch64-linux用のbinfmtエミュレーションをブートストラップします。
# NixOS設定にboot.binfmt.emulatedSystemsが含まれていても、
# 初回インストール時はbinfmtがまだ有効になっていないため、
# aarch64-linux derivationのビルドに失敗します(chicken-and-egg問題)。
# この関数で一時的にbinfmtを設定することでnixos-rebuildを成功させます。
# リビルド後はNixOSが正式なbinfmt設定を管理します。
bootstrap_binfmt_aarch64() {
  echo "aarch64 binfmtをブートストラップ中..."

  # binfmt_miscファイルシステムがマウントされていなければマウント
  if ! test -e /proc/sys/fs/binfmt_misc/register; then
    sudo mount binfmt_misc -t binfmt_misc /proc/sys/fs/binfmt_misc
  fi

  # qemu-userをビルド
  local qemu_user
  qemu_user=$(nix build .#qemu-user --print-out-paths --no-link)

  # カーネルにaarch64 binfmtハンドラを登録(未登録の場合のみ)
  # Fフラグ: 登録時にカーネルがインタープリタのファイルディスクリプタを保持するため、
  # Nixサンドボックス内でインタープリタのパスが見えなくても動作します。
  # NixOSのnixos/lib/binfmt-magics.nixからのELFマジックバイトとマスク。
  if ! test -e /proc/sys/fs/binfmt_misc/aarch64-linux; then
    local magic mask interpreter
    magic='\x7fELF\x02\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00'
    magic+='\x02\x00\xb7\x00'
    mask='\xff\xff\xff\xff\xff\xff\xff\x00\xff\xff\xff\xff\xff\xff\x00\xff'
    mask+='\xfe\xff\xff\xff'
    interpreter="${qemu_user}/bin/qemu-aarch64"
    printf '%s\n' ":aarch64-linux:M:0:${magic}:${mask}:${interpreter}:F" |
      sudo tee /proc/sys/fs/binfmt_misc/register >/dev/null
  fi

  # NixOS管理のnix.confを一時的にコピーしてextra-platformsを追加します。
  # nixos-rebuild後にNixOSの活性化スクリプトが正しいシンボリックリンクを復元します。
  local nix_conf="/etc/nix/nix.conf"
  # シンボリックリンクの場合のみコピーで実体化する(既に通常ファイルならスキップ)
  if [ -L "$nix_conf" ]; then
    sudo cp --remove-destination "$(readlink -f "$nix_conf")" "$nix_conf"
  fi
  echo "extra-platforms = aarch64-linux" | sudo tee -a "$nix_conf" >/dev/null
  # Nixサンドボックス内でQEMUとその依存ライブラリにアクセスできるようにします。
  # Fフラグでインタープリタ自体はロード済みですが、
  # QEMUの動的リンカがサンドボックス内で共有ライブラリを解決する必要があります。
  local sandbox_paths
  sandbox_paths=$(nix path-info -r "$qemu_user" | tr '\n' ' ')
  printf 'extra-sandbox-paths = %s\n' "$sandbox_paths" |
    sudo tee -a "$nix_conf" >/dev/null
  sudo systemctl restart nix-daemon

  echo "binfmtブートストラップ完了"
}