ソースの正はGitea／Forgejoに置き、PR／タグのイベントだけを軽量VPSの制御面で受ける。xcodebuildと署名は按日のクラウドMac実行面に閉じる切り分けが、2026年の短周期チームで増えています。コストと主権、Webhook到達性をVPSに集約し、Macは必要な日だけ専有すると予算配分が楽です。
制御面と実行面を分けると何が楽か
GitとRunnerを同居させるとOS／Gitのメンテが同じ窓に重なります。VPSはプロキシ・レート制限・Webhook署名・キュー、Macはgit fetch以降に専念させると秘密の移動距離が短くなります。キャッシュ方針は リモートキャッシュと本地ディスクの比較マトリクス も併せて参照してください。
Webhookトリガと再送に強いキュー
受信口は署名確認後にキューへ積み、早めに202で返すと再送に強いです。配送IDを冪等キーにし、Macオフライン時は滞留＋起動側で同時実行数を絞ると按日運用でも安定します。
最小権限トークンと企業リソースプール
APIトークンはRunner用途に必要なスコープだけに絞り、Org／チーム単位で区切ります。証明書ストアもプール別に分け、境界の説明には マルチProfile並列のディレクトリ隔離FAQ と同型の考え方が使えます。監査ログはWebhook経路をVPSに残し、Macはビルドログ中心にします。
隔離とコストの判断マトリクス
短周期で繰り返し出る軸を表にしました。
| 観点 | 小規模（単一Runner） | 企業プール（複数Runner） | 注意点 |
|---|---|---|---|
| シークレット境界 | 1ホストにDeploy Key集約 | Runnerタグ＋Vaultパスをチーム別 | キローテーション時はWebhook経路も同時更新 |
| 按日Macの使い方 | 夜間バッチと手動リリースのみ | バースト枠をPR検証へ、安定枠をStore提出へ | キュー滞留とタイムアウト閾値を文書化 |
| 可用性 | VPS単一でも可、Gitミラーで読み取り冗長 | Webhook入口を二系統＋ヘルスチェック | Mac側はメンテナンスウィンドウを事前告知 |
クラウドMac mini なら、実行面だけに集中できる
制御をVPSに寄せたあと、残るボトルネックはAppleツールチェーンの素速度です。クラウドMac mini M4ではXcodeと署名・公证がネイティブに走り、ユニファイドメモリでリンカーとSwiftが帯域を取り合いにくいです。待機約4Wの静音筐体は按日＋夜間ジョブにも向きます。
低クラッシュ率とGatekeeper／SIPは共有Runnerの説明にも使えます。実行面を無理にWindowsへ寄せずmacOSへ寄せた方が手戻りが減ることが多いです。
短周期で「制御は自前、ビルドはクラウドSilicon」へ寄せるなら、VPSSpark のクラウド Mac mini M4 が現実的な次の一手です——プランを今すぐ確認し、Webhookから署名済みIPAまでの距離を縮めてください。