배포 노드, 전용 서명기, 프로파일 로테이션, 키체인 범위, 의사결정 매트릭스
모바일 및 플랫폼 리드가 다중 노드 원격 Mac 메시를 운영할 때 흔히 「여기서는 Archive 서명은 되는데 저쪽 CI에서는 프로비저닝이 실패한다」는 상황에 부딪힙니다. 로테이션 창이 어긋나거나 배포 인증서가 공유 디스크에 흩어지거나, 각 러너가 고유 .p12와 팀 맥락을 가져오는 식입니다. 이 글에서는 전용 서명기, 러너별 자격 증명, 통제된 배포를 비교하고, 로테이션과 멱등 규칙에 맞춘 프로파일과 번들 매핑을 정리하며, 여섯 단계 런북을 제시한 뒤 규모, 컴플라이언스, 릴리스 빈도 매트릭스로 마무리합니다. 골든 이미지 드리프트 체크리스트, 공유 빌드 풀 러너, OIDC 자격 증명 보관로 교차 링크하여 서명 맥락을 툴체인 배치와 맞춥니다.
골든 이미지 체크리스트를 따랐는데도 메시 전역에서 errSecInternalComponent나 프로비저닝 불일치가 보일 수 있습니다. 근본 원인은 대개 서명 맥락이 파이프라인의 일급 메타데이터가 되지 않았기 때문입니다. 프로파일 UUID, 팀 ID, 인증서 지문, 키체인 범위는 IMAGE_ID만큼 감사 가능해야 합니다. 공유 빌드 풀에서 러너가 임의 .p12 묶음을 가져오면 컴플라이언스와 트리아지가 동시에 무너집니다.
로테이션 창: Apple Developer에서 프로파일을 갱신한 뒤에도 오래된 UUID가 일부 노드에 남아 실패가 무작위처럼 보입니다. 「최신 다운로드」 대신 명시적 매니페스트 버전을 고정합니다.
배포 인증서 확산: 하나의 .p12를 많은 메시 호스트에 복사하면 한 번의 폐지로 전부 멈추고, 감사에서는 비공개 키를 어디에 누가 가져왔는지 답할 수 없습니다.
키체인 범위 드리프트: 로그인 대 시스템 키체인과 CI 사용자 잠금 해제 정책이 들쭉날쭉하면 헤드리스 서명이 간헐적으로 자격 증명을 놓칩니다.
다중 App ID 매핑 오류: 확장은 호스트 앱과 다른 프로비저닝이 필요하지만 PROVISIONING_PROFILE_SPECIFIER가 xcodebuild 인자에서 한 번만 하드코딩됩니다.
프로파일과 빌드 캐시 혼합: 프로파일을 DerivedData 옆의 「지워도 되는」 트리에 두면 클리너가 밤새 삭제합니다.
이 다섯 가지를 온콜 순서에 「컴파일러보다 앞선 서명 레이어」로 넣으면 불필요한 재시도를 줄입니다. 핸드오프에서 사람 대기 시간이 대기열을 키우므로 SSH 대 VNC 체크리스트와 짝을 이루어 서명기 호스트에서 키체인 프롬프트를 누를 수 있는 사람을 정합니다.
어떤 토폴로지도 모든 곳에서 이기지는 못합니다. 폐지 폭발 반경, 컴플라이언스 증거, 메시 탄력에 맞춥니다. 전용 서명기는 폐지 표면을 최소화하지만 대기열이 생깁니다. 러너별 키는 동시성은 키우지만 감사 비용이 폭발합니다. 통제된 배포는 그 사이에 있으며 매니페스트와 읽기 전용 마운트가 필요합니다. OIDC 비밀 보관과 같은 교훈으로, 비공개 키 자료는 가장 짧은 수명과 가장 작은 노출을 따릅니다.
| 차원 | 전용 서명기 | 러너별 자격 | 통제된 배포 |
|---|---|---|---|
| 폐지 반경 | 가장 작음. 로테이션은 경계 안에 유지 | 가장 큼. 호스트별 추적 | 중간. 매니페스트 버전 |
| 대기열과 메시 탄력 | 병목 위험. 예약 또는 사이드카보내기 | 높은 동시성 | 중간에서 높음. 프로파일 병렬 가져오기 |
| 컴플라이언스 감사 | 가장 쉬움. 접근과보내기 기록 | 가장 어려움. 키가 흩어짐 | 중간. 마운트 불변성 입증 |
| 골든 이미지 결합 | 서명기가 자체 배치를 추적 가능 | 인증서가 이미지 ID에서 어긋남 | 프로파일 폐지는 이미지 메타데이터 옆에 둠 |
| 안티 패턴 | 서명기를 범용 컴파일 호스트로 씀 | 아티팩트 스토어에 .p12 커밋 | 「항상 최신 프로파일 가져오기」 작업 |
거버넌스가 건강한 것은 한 번의 폐지가 몇 분 안에 영향 노드와 파이프라인에 매핑될 때이지, 「보통은 빌드된다」일 때가 아닙니다.
Archive와 PR 빌드가 같은 메시를 공유하면 컴파일 대기열과 별도로 서명 과금과 임대를 분리합니다. 풀 시트 잠금을 쓸 때는 키체인 승인을 기다리는 동안 컴파일 잠금을 붙잡지 마십시오.
골든 이미지 여섯 단계와 함께 실행합니다. 이미지는 툴체인을 담당하고 이 글은 서명 아티팩트와 키체인 경계를 담당합니다. 각 단계에는 티켓 ID가 필요합니다. 풀 임대에서는 서명기 시트 획득을 컴파일 대기열에서 분리합니다.
프로파일 매니페스트 동결: profiles.json(UUID, 파일명, 만료, 팀 ID)을 Git 또는 보호 버킷에 두고, CI 게이트는 노드 마운트와 일치해야 합니다.
README에 토폴로지 선언: 전용 대 분산 대 러너별과 비공개 키를 둘 수 있는 호스트 이름을 적습니다.
키체인과 잠금 해제 정책: CI 키체인 파티션을 만들고 security unlock-keychain 허용 창과 실패 시 폴백을 문서화합니다.
모든 .p12보내기 게이트: 이중 통제와 티켓 번호. 「임시로 데스크톱에보내기」는 없습니다.
프로브 확장: 툴체인 지문 외에 security find-identity -v -p codesigning을 해시해 로그 색인에 넣습니다.
스테이징에서 로테이션: 만료 일주일 전 창에서 병렬 UUID와 순서 있는 롤백을 리허설합니다.
export PROFILE_MANIFEST_SHA="$(shasum profiles.json | awk '{print $1}')"
export SIGNING_SUMMARY="$(security find-identity -v -p codesigning | shasum | awk '{print $1}')"
node scripts/assert-signing-context.mjs \
--expect-manifest "${PROFILE_MANIFEST_SHA}" \
--expect-signing "${SIGNING_SUMMARY}" \
--region "${RUNNER_REGION}"
참고: 프로브 출력은 로그 색인에만 둡니다. 비공개 키 지문을 공개 아티팩트 메타데이터에 실어 보내지 마십시오. 외부 SBOM은 마지막 여섯 자리 일련번호나 내부 별칭을 사용합니다.
전형적인 거짓 양성은 호스트 앱 프로파일은 갱신됐는데 확장이 여전히 옛 UUID를 참조한다는 경우입니다. 트리아지 순서는 embedded.mobileprovision을 빌드 인자와 비교하고, 이어 키체인 자격 요약을 비교하고, 마지막으로 Xcode 프로젝트 설정을 비교합니다. 관측 가능한 태스크 체인 글과 연결할 때는 핸드오프 봉투에 profile_manifest_sha를 포함합니다.
증거 삼각: codesign -dvvv의 팀, Authority, Sealed Resources입니다.
매니페스트 차이: 실패 노드와 성공 노드가 같은 profiles.json 해시를 공유합니까?
잠금 해제 창: 첫 무인 서명이 허용된 잠금 해제 간격 밖으로 나갔습니까?
타깃별 매핑: 각 타깃의 CODE_SIGN_STYLE은 해당 지정자와 짝을 이룹니다.
보내기 파이프라인: Archive와 애드혹이 잘못된 프로파일 디렉터리를 재사용하면 안 됩니다.
멱등 방출: 큐 완료 시 매니페스트 버전을 실어 하류 이중 서명을 막습니다.
경고: 병렬 창 동안 자동 서명과 명시적 프로파일 파일 경로를 섞지 마십시오. 메시에서 타깃마다 간헐적 실패로 나타납니다.
다지역 iOS 실무에서 온 세 가지 계획 대역입니다. 자체 텔레메트리로 바꾸고 감사를 위해 출처를 남기십시오.
| 팀 규모 | 컴플라이언스 | 릴리스 빈도 | 첫 안정 선택 |
|---|---|---|---|
| 소 | 표준 | 주간 이상 | 전용 서명기와 명시 매니페스트. 공유 .p12 금지 |
| 중 | 표준 | 일간 이상 | 통제된 배포와 읽기 전용 마운트와 자동 로테이션 |
| 플랫폼 | 높음 | 지속 | HSM급 사이드카와 전체 감사 색인 |
| 다중 벤더 | 중간 | 불규칙 | 격리 러너 풀과 프로젝트별 프로파일 접두사 |
노트북을 서명기로 겸하면 절전, OS 업데이트, 감사되지 않은 키체인 프롬프트를 그대로 가져옵니다. 온프레 Mac 함대는 조달과 다중 사이트 동기가 무겁습니다. 계약 기반 원격 Mac 노드가 메시의 「서명 게이트」 역할에 더 잘 맞습니다.
안티 패턴: 간헐적으로 성공한 codesign을 프로파일이 옳다는 증거로 취급하지 마십시오. 프로브에 매니페스트 해시를 강제합니다.
메시와 감사 가능 서명은 비공식 정책만으로는 드물게 오래 가며, 빌린 노트북은 비공개 키가 통제 구역 안에 머물렀다고 증명하기 어렵습니다. 재현 가능한 서명과 안정적인 게이트를 위해서는 VpsMesh Mac Mini 클라우드 대여가 대개 더 적합합니다. 리전과 SKU를 고르고 노드를 전용으로 두며, 서명기 계약과 컴파일 러너를 분리하면 메시 정책이 개인 습관이 아니라 집행 가능한 계약 조건이 됩니다.
파이프라인 게이트에서 프로파일 버전과 만료를 고정하고, 병렬 UUID 기간에는 명시적 파일 이름을 쓰며, 멱등 필드를 공유 빌드 풀 러너 글과 맞춥니다. 격리된 서명기 노드는 주문 페이지를 참고하십시오.
먼저 골든 이미지와 드리프트로 툴체인 배치를 고정한 뒤, 인증서와 프로파일 맵을 위해 이 글로 돌아옵니다. 가격은 3년 TCO 글과 비교하십시오.
연결 주제는 고객 센터에 있습니다. 릴레이 기준선은 SSH 대 VNC 체크리스트에 있습니다. 프로파일이 불안정하면 섹션 3의 프로브와 매니페스트 해시를 다시 확인하십시오.