Подписание iOS и provisioning на
многорегиональном Mac Mesh в 2026

Golden Image закреплён — почему узлы всё равно расходятся в подписании? Пять классов боли

Вы прошли чеклист Golden Image, но по-прежнему видите errSecInternalComponent или рассинхрон provisioning по mesh. Корень обычно в том, что контекст подписания так и не стал полноценными метаданными пайплайна: UUID профиля, Team ID, отпечатки сертификатов и область Keychain должны быть столь же проверяемы, как IMAGE_ID. При общем build-пуле произвольный импорт .p12 на раннерах одновременно ломает compliance и разбор инцидентов.

1. 01

   Окна ротации: после обновления профилей в Apple Developer старые UUID остаются на части узлов и сбои выглядят случайными; фиксируйте явные версии манифеста вместо «скачать последнее».

2. 02

   Размазанный Distribution-сертификат: один .p12, скопированный на множество хостов mesh, означает одну отзывную операцию для всего контура и невозможность ответить в аудите, кто и где импортировал закрытый ключ.

3. 03

   Дрейф области Keychain: login против System и несогласованная политика разблокировки для CI-пользователя дают пропуски идентичностей в headless-подписании.

4. 04

   Ошибки маппинга нескольких App ID: расширениям нужен иной provisioning, чем хост-приложению, а PROVISIONING_PROFILE_SPECIFIER один раз зашит в аргументы xcodebuild.

5. 05

   Профили рядом с кэшем сборки: хранение профилей рядом с DerivedData в деревьях «можно снести» приводит к ночному удалению очистителями.

Добавьте эти пять пунктов в порядок дежурства как «слой подписания раньше слоя компилятора», чтобы сократить пустые ретраи. Задержка human-in-the-loop на handoff увеличивает ожидание; сверяйтесь с чеклистом SSH против VNC, кто имеет право нажимать диалоги Keychain на узле-подписанте.

Шестишаговый runbook: от манифеста профилей к проверяемому подписанию на всех узлах

Выполняйте параллельно с шестью шагами Golden Image: образы отвечают за тулчейны, этот материал — за артефакты подписания и границы Keychain. У каждого шага должен быть ticket ID; с lease пула получение места подписанта не должно висеть на compile-очереди.

1. 01

   Заморозить манифест профилей: хранить profiles.json (UUID, имя файла, expiry, Team ID) в git или защищённом bucket; gate CI должен совпадать с mount на узлах.

2. 02

   Зафиксировать топологию в README: dedicated против distributed против per-runner и hostname, которым разрешено держать закрытые ключи.

3. 03

   Keychain и политика unlock: выделить партицию CI-keychain и описать окна security unlock-keychain плюс fallback при сбое.

4. 04

   Gate на каждый экспорт .p12: dual control и номера тикетов — без «временно на Desktop».

5. 05

   Расширить пробы: помимо отпечатков тулчейна хешировать security find-identity -v -p codesigning в индексы логов.

6. 06

   Ротация в staging: отрепетировать семидневное окно до expiry с параллельными UUID и упорядоченным откатом.

export PROFILE_MANIFEST_SHA="$(shasum profiles.json | awk '{print $1}')"
export SIGNING_SUMMARY="$(security find-identity -v -p codesigning | shasum | awk '{print $1}')"
node scripts/assert-signing-context.mjs \
  --expect-manifest "${PROFILE_MANIFEST_SHA}" \
  --expect-signing "${SIGNING_SUMMARY}" \
  --region "${RUNNER_REGION}"

Цифры для README и матрица решений

Три планировочных диапазона из межрегиональной iOS-практики — замените на свою телеметрию и сохраните источник для аудитов.

• Параллельное окно профилей: перекрывающиеся UUID запускать за 7–14 дней до истечения production-профиля; меньше семи дней упирается в праздничные freeze.
• Дрейф сводки идентичностей: если в пуле за 24 часа больше двух различных хешей codesigning-идентичностей — блокировать новые узлы до сверки манифестов.
• Копии закрытого ключа: держать закрытые ключи Distribution в количестве ≤2 активных копий (основная плюс холодный резерв); больше — признак дефекта процесса.

Ноутбуки в роли подписантов наследуют сон, обновления ОС и неаудируемые запросы Keychain; on-prem Mac-флоты тянут закупки и мультисайтовую синхронизацию. Удалённые Mac-узлы по контракту лучше подходят под роль mesh «ворот подписания».

Mesh плюс аудируемое подписание редко выживает на неформальной политике одной лишь; одолжённые ноутбуки не доказывают, что закрытые ключи оставались в контролируемых зонах. Для воспроизводимого подписания и стабильных gate аренда Mac Mini в облаке VpsMesh обычно лучше совпадает с задачей: выбрать регион и SKU, выделить узлы и развести контракты подписанта и compile-раннеров, чтобы политика mesh стала исполнимыми договорными условиями, а не привычкой отдельных людей.