2026 Kurzzyklus-iOS-Signierung: Fastlane Match, verschlüsseltes Git auf Cloud-Mac-Runnern (pro Tag), read-only HTTPS und Zertifikatskonflikte bei mehreren Jobs — Entscheidungsmatrix und ausführbare Checkliste (FAQ)

Teams mit kurzen Release-Zyklen mieten Cloud-Mac-Runner oft tageweise, um TestFlight-Builds zu spiken, ohne Hardware zu kaufen. Genau dort trifft Signierung auf Realität: flüchtige Datenträger, parallele Jobs und Geheimnisse, die getrennt vom App-Code bleiben müssen. Fastlane Match bleibt der pragmatische Standard, weil Zertifikate und Provisioning-Profile als verschlüsselte Artefakte in Git liegen und auf jedem Runner in die Schlüsselkette geladen werden. Die typischen Fehlerbilder sind vorhersehbar — veraltete Profile, Passphrase-Drift, zwei Jobs, die dieselbe Branch beschreiben — die Lösung ist aber nüchterne Technik, sobald Sie Lesen und Schreiben trennen und Nebenläufigkeit festziehen.

Match und verschlüsseltes Git: was auf dem Runner ankommt

Match erwartet ein dediziertes Repository (meist privat) mit verschlüsselten .p12- und Mobileprovision-Dateien plus Metadaten. Die Passphrase liegt nicht in Git; injizieren Sie sie aus dem CI-Secret-Store per Umgebungsvariable. Auf einem pro Tag gemieteten Cloud-Mac gilt das Checkout-Verzeichnis als wegwerfbar: frisch klonen, match im Nur-Lesen-Modus für Archive-Lanes ausführen und readonly: false nur in einem abgesicherten Admin-Job aktivieren, der Zertifikate erneuert. Diese eine Policy verhindert die meisten „CI hat mein Repo umgeschrieben“-Vorfälle.

Branches und Zugriffskontrolle

Nutzen Sie einen Standard-Branch pro Umgebung (z. B. main für Produktionsmaterial) und beschränken Sie Merge-Rechte. CI-Lese-Tokens sollten auf Repository-Ebene nur Inhalte lesen erlauben. Menschliche Admins behalten einen separaten Pfad für Regeneration. Mischen Sie Ad-hoc- und App-Store-Profile in einem Repo, halten Sie Verzeichnisse klar getrennt, damit Match-Typen sich bei parallelen Läufen nicht gegenseitig überschreiben.

Nur-Lesen-HTTPS-Klone auf Cloud-Mac-Runnern

HTTPS mit fein abgestuftem Personal Access Token oder Deploy-Key (auf HTTPS gemappt) ist oft leichter auditierbar als langlebige SSH-Keys auf gemieteten Maschinen. Setzen Sie GIT_TERMINAL_PROMPT=0, damit hängende Auth schnell fehlschlägt, und bevorzugen Sie flache Klone des Match-Repos, um Minuten auf kurzen Sessions zu sparen. Wechselnde Egress-IPs beim Provider können Rate-Limits am Git-Host auslösen — Backoff gehört in den Pipeline-Wrapper, nicht in Match selbst. Für Runner-Registrierung, Netzwerk-Selbsttest und Tokens mit minimalen Rechten eignet sich unsere Checkliste: Kurzzyklus-CI nach Cloud-Mac (2026): Runner-Registrierung, Netzwerk-Selbsttest und Token mit minimalen Rechten — Checkliste & FAQ. Remote-Caches und DerivedData-Strategien ergänzen das Bild hier: Kurzzyklus-Cloud-Mac-CI 2026: Remote-Build-Cache (DerivedData, Pods, sccache) vs. lokale Knoten-SSD.

export GIT_TERMINAL_PROMPT=0
export MATCH_READONLY=true   # Archive- / Test-Lanes
# Optional: Timeout bei großen LFS-Blobs anheben
export GIT_HTTP_LOW_SPEED_LIMIT=1000
export GIT_HTTP_LOW_SPEED_TIME=120

Entscheidungsmatrix: Zertifikatskonflikte bei mehreren Jobs

Zwei nebenläufige Jobs, die Match mit Schreibrecht aufrufen, oder dieselbe app_identifier-Konfiguration mit widersprüchlichen type-Werten, können um Git-Pushes oder Keychain-Installationen raceen. Nutzen Sie die Matrix, bevor Sie Parallelität hochdrehen.

Ausführbare Checkliste und FAQ

Diese Liste gehört zu jedem neuen Cloud-Mac-Image oder Runner-Label, bevor Produktions-Signierung freigeschaltet wird.

• Preflight — Xcode-Major passt zu DEVELOPMENT_TEAM; Apple-Zwischenzertifikate vorhanden.
• Secrets — MATCH_PASSWORD, App-Store-Connect-API-Key und Git-HTTPS-Token nur auf das Match-Repo begrenzt.
• Netzwerk — Ausgehend 443 zu Apple und Git-Host; nicht-interaktiv (CI=1, wo Fastlane Prompts überspringt).
• Nebenläufigkeit — Standard-Pipeline setzt MATCH_READONLY; nur der Erneuerungs-Workflow hebt es auf.
• Post-Job — Keychain zurücksetzen oder Logout-Skript auf Shared Pools; Artefakte hochladen, Temp-Verzeichnisse leeren.

FAQ in Kurzform

„Codesign möchte auf den Schlüsselbund zugreifen“ — in CI einen Wegwerf-Schlüsselbund unter $TMPDIR entsperren, nicht den Login-Keychain. Profil mitten im Sprint abgelaufen — eine Erneuerungs-Lane, Profile bumpen, ins Match-Repo committen, danach Nur-Lesen-Jobs fächern. Zwei Apps, Tippfehler in der Bundle-ID — scheitert beim Upload, nicht beim Compile; vor dem Archiv Metadaten-Check in gym einbauen.