2026년 단주기 자가 호스팅 Git(Gitea/Forgejo)·경량 VPS 제어면과 일 단위 클라우드 Mac 네이티브 iOS 빌드 실행면: Webhook·최소 권한 토큰·기업 리소스 풀 격리 매트릭스 FAQ

코드와 정책은 Gitea·Forgejo 같은 경량 자가 호스팅 Git에 두고, Webhook·토큰·감사 로그 같은 제어면은 저월비 Linux VPS에 올립니다. xcodebuild·codesign·아카이브처럼 Apple 실기가 필요한 일은 일 단위 클라우드 Mac에서만 돌리면 비용과 보안 경계를 동시에 잡습니다.

1. 제어면(VPS)과 실행면(클라우드 Mac)을 나누는 이유

Git 호스트에 Xcode까지 얹으면 스냅샷과 서명 키가 한 장비에 몰립니다. VPS에는 프록시·TLS·레이트 리밋만 두고 Mac에는 Runner와 임시 산출물만 두면 폐기가 빨라집니다. Webhook·헬스 체크 매트릭스는 2026년 OpenClaw 배포 경로 비교: Fly.io 컨테이너 플랫폼과 일반 Linux 클라우드 VPS 직접 설치—지속 볼륨·공개 인입·채널 Webhook·헬스 체크 결정 매트릭스와 재현 가능한 FAQ와 같은 틀로 가져오면 됩니다.

2. Webhook 트리거: push 한 번이 Mac을 깨울 때

브랜치·태그·수동 dispatch마다 엔드포인트를 나누면 운영이 단순해집니다. 수신기는 JSON을 파싱해 Mac 에이전트에 큐만 넘기고 곧바로 200을 돌려 타임아웃을 피합니다. 멱등 키(commit SHA + 잡 이름)로 짧은 시간 중복 페이로드를 한 번만 예약하세요.

3. 최소 권한 토큰과 배포 키

관리자 PAT를 Runner에 넣으면 유출 시 반경이 너무 큽니다. 저장소별 읽기 전용 deploy key로 클론만 허용하고, 상태 API는 권한 최소의 봇 계정으로 쪼개세요. 외부로 푸시하지 않으면 토큰 없이 SSH 범위만 제한하는 편이 더 낫습니다.

# 1) 시크릿으로 HMAC 서명 검증
# 2) 이벤트 종류·브랜치 화이트리스트
# 3) 멱등 키 저장 후 중복 빌드 차단
# 4) 실패 시 Git에 남길 커밋 상태는 별도 최소 스코프 토큰만

4. 기업 리소스 풀 격리

조직마다 Runner 라벨·세그먼트·아티팩트 버킷을 나누면 실험 브랜치가 타 팀 서명 파이프를 밟지 않습니다. launchd·로그 경로는 Linux와 다릅니다. 2026 클라우드 Mac에서 OpenClaw 배포: Linux VPS와 다른 macOS 검증, launchd 상주, 재현 가능한 FAQ에 나온 것처럼 macOS 전용 검증을 체크리스트로 빼 두면 온콜이 가벼워집니다.

5. FAQ: 자주 묻는 의사결정

Q. 단주기만? 릴리스 주간에만 클라우드 Mac을 켜고 평소엔 VPS 스케줄만 유지하세요. Q. SaaS CI 병행? Webhook은 VPS에서 한 갈래로 합치세요. Q. 감사? Git과 Mac 로그 타임스탬프를 UTC로 맞춥니다.