Xcode CI/CD в облачном Mac: практическое руководство по GitHub Actions и Jenkins

Без Mac: на каком шаге обрывается iOS-пайплайн

Многие команды начинают с Linux для unit-тестов и статического анализа, думая, что «CI уже готов» — пока не нужен пакет TestFlight: xcodebuild, codesign, notarytool и API App Store Connect требуют macOS с подписью Apple. Это не обойти Docker-образом: цепочка сертификатов Archive и оптимизация компилятора Swift для Apple Silicon предполагают настоящий Mac.

Поэтому любая команда с iOS-продуктом рано или поздно решает, кто обеспечивает этот Mac на постоянной основе. Три распространённых варианта: macOS Runner GitHub, Mac mini в офисе, выделенная физическая машина в облаке. Нет абсолютного лидера — разница в терпимости к очередям, частоте сборок в месяц и наличии человека для обслуживания системы и сертификатов. Статья сфокусирована на третьем пути, но сначала поможет определить границы двух других.

Хостинговый Runner, свой датацентр или выделенный облачный Mac: как выбрать

Разбейте полную iOS-сборку на три этапа — ожидание машины, компиляция и линковка, подпись и загрузка — и увидите, что узкое место различается. На одном commit мы сравнили хостинговый Runner macos-14 GitHub и выделенный узел M4 PixVPS: хостинговый Runner в пик UTC 13:00–17:00 в среднем ждёт в очереди 22 минуты до запуска job, а xcodebuild archive занимает 5 мин 38 с; выделенный M4 без очереди — полный Archive 3 мин 52 с, 16 ГБ унифицированной памяти при clean build не вызвали swap.

Если боль — «полчаса после push, чтобы узнать, прошла ли компиляция», узкое место часто в очереди, а не в Xcode. Закрепление Runner на всегда онлайн выделенном Mac — самый прямой способ сократить цикл обратной связи.

Чек-лист из четырёх шагов для инициализации удалённого Mac-узла

Mac mini PixVPS поставляется с полным macOS и правами администратора. После активации входите по SSH или VNC в браузере. Рекомендуем фиксированные каталоги для сертификатов и профилей, чтобы скрипты Runner не искали свои пути. Ниже — четыре шага нашего стандартного чек-листа для каждого нового узла.

1. 01
   Установите Xcode и примите лицензию

   Установите Xcode 16.x из App Store, выполните sudo xcodebuild -license accept и xcodebuild -runFirstLaunch. Проверка: xcodebuild -version должен вывести ожидаемую версию.

2. 02
   Импортируйте сертификат Distribution и профили provisioning

   Поместите .p12 в ~/certs/, импортируйте через security import в выделенную связку ключей ~/Library/Keychains/ci.keychain-db; .mobileprovision — в ~/Library/MobileDevice/Provisioning Profiles/.

3. 03
   Настройте API Key App Store Connect

   Создайте API Key в портале Apple Developer, сохраните AuthKey_XXXXXX.p8 в ~/private_keys/. Для загрузки в TestFlight используйте altool или Fastlane pilot upload, чтобы обойти интерактивную двухфакторную аутентификацию.

4. 04
   Первый полный Archive и сохранение DerivedData

   После клонирования репозитория выполните один раз Release Archive локально, чтобы убедиться в отсутствии ошибок подписи. Сохранение DerivedData сокращает время инкрементальных сборок примерно на 30–45%.

Self-hosted Runner GitHub Actions: от регистрации до workflow

После регистрации self-hosted Runner workflow через labels направляет job именно на этот облачный Mac. Путь: репозиторий Settings → Actions → Runners → New self-hosted runner, выберите macOS ARM64, скачайте пакет actions-runner по инструкции и выполните:

./config.sh --url https://github.com/YOUR_ORG/YOUR_REPO --token RUNNER_TOKEN --labels macos-m4,pixvps,ios-build --unattended

После регистрации установите как системный сервис: sudo ./svc.sh install → sudo ./svc.sh start. В YAML workflow укажите runs-on: [self-hosted, macos-m4]. Типичная цепочка iOS job: checkout → разблокировка CI-связки ключей → xcodebuild archive → xcodebuild -exportArchive → Fastlane upload_to_testflight. На нашем узле M4 от push до завершения обработки TestFlight в среднем около 10 минут, из них 5–6 минут — сборка и загрузка.

Эластичное подключение macOS Agent Jenkins

Если у команды уже есть контроллер Jenkins (на Linux), macOS-сборки подключаются через Agent. На облачном Mac установите JDK 17, скачайте agent.jar, запустите как LaunchDaemon; контроллер отправляет задачи по SSH или JNLP.

Преимущество Jenkins — визуальные пайплайны и экосистема плагинов: Credentials Binding для пароля связки ключей, раскраска логов AnsiColor, архивирование артефактов в Artifactory и т.д. Типичный Pipeline вызывает sh 'xcodebuild ...' в stage('Archive') и Fastlane в stage('Upload'). По сравнению с GitHub Actions Jenkins лучше подходит для внутренних процессов с несколькими ветками, средами и ручным утверждением.

Облачный Mac с посуточной арендой может быть «эластичным Agent»: активируйте узел в неделю релиза и подключите Jenkins, в межсезонье освободите — не нужно содержать Mac в серверной 365 дней в году. Фиксация DEVELOPER_DIR для избежания путаницы между версиями Xcode — самая часто упускаемая деталь стабильности Jenkins.

Полный CLI-пайплайн Archive, Export и TestFlight

И GitHub Actions, и Jenkins ведут к одной цепочке: Archive создаёт .xcarchive → Export создаёт .ipa → загрузка в App Store Connect. Командная строка — стандарт CI, без GUI Xcode.

Пример Archive (Release, указанный scheme):

xcodebuild archive -workspace MyApp.xcworkspace -scheme MyApp -configuration Release -archivePath build/MyApp.xcarchive CODE_SIGN_STYLE=Manual PROVISIONING_PROFILE_SPECIFIER="MyApp AppStore"

Export требует ExportOptions.plist (method app-store):

xcodebuild -exportArchive -archivePath build/MyApp.xcarchive -exportPath build/export -exportOptionsPlist ExportOptions.plist

Загрузка в TestFlight (API Key, для работы без присмотра):

xcrun altool --upload-app -f build/export/MyApp.ipa -t ios --apiKey KEY_ID --apiIssuer ISSUER_ID

10 ядер M4 заметно ускоряют параллельную компиляцию Swift по сравнению со старыми Intel CI-машинами; при большом числе зависимостей Swift Package кэшируйте в workflow ~/Library/Developer/Xcode/DerivedData и каталог SourcePackages — со второй сборки время может сократиться ещё примерно на треть.

Подпись без присмотра: руководство по устранению неполадок связки ключей

При SSH или headless Runner сбой codesign почти всегда связан со связкой ключей, а не с просроченным сертификатом. В начале скрипта сборки рекомендуем фиксированную разблокировку и авторизацию:

security unlock-keychain -p "$KEYCHAIN_PASSWORD" ~/Library/Keychains/ci.keychain-db

security set-key-partition-list -S apple-tool:,apple:,codesign: -s -k "$KEYCHAIN_PASSWORD" ~/Library/Keychains/ci.keychain-db

Пароль вводите через GitHub Secrets или Jenkins Credentials — никогда не храните в открытом виде в репозитории. При ошибке errSecInternalComponent проверьте, что связка ключей по умолчанию и codesign в списке доверия. Если altool зависает на аутентификации, сверьте Issuer ID API Key с именем файла .p8.

Ещё одна частая ловушка — несоответствие Provisioning Profile и Bundle ID: на этапе Archive ошибки нет, сбой на Export. Добавьте в CI шаг security cms -D -i profile.mobileprovision для вывода UUID и сверьте с PROVISIONING_PROFILE_SPECIFIER в проекте.

Аренда облачной сборочной машины по ритму релизов

Независимые разработчики и небольшие команды часто между двух огней: нужны macOS-сборки, но не хочется арендовать офис, тянуть выделенную линию и решать отключения и обновления ради одной CI-машины. Облачная Linux VM не подходит (нет полного macOS и цепочки подписи Apple); Mac mini дома — нестабильный uplink, смена IP и случайные выключения.

PixVPS предлагает выделенный физический Mac mini M4: без виртуализации и оверселлинга, 16 ГБ памяти и выделенная полоса 1 Gbps на каждую машину, автоматическая активация через 1–5 минут после оплаты. Пять узлов — Сингапур, Япония, Корея, Гонконг, восток США — по распределению пользователей; для приложений на японский рынок узел Токио снижает трансграничную задержку при загрузке в TestFlight.

Тарификация: $21,1/день, $57,1/неделя, $105,7/месяц, без долгосрочного контракта. Активируйте узел в неделю плотных релизов для Runner, в период обслуживания освободите — часто выгоднее, чем покупка машины и электричество круглый год. Для параллельных Archive на нескольких машинах услуга кластера Thunderbolt 5 формирует сеть 80 Gbps — для крупных monorepo или матриц приложений.

1. 01
   Выберите узел PixVPS и активируйте

   Войдите в консоль, выберите регион и срок аренды; после оплаты SSH-учётные данные и доступ VNC выдаются автоматически. Инструкции по подключению — в центре помощи.

2. 02
   Завершите базовую настройку Xcode и подписи по разделу 3

   Запишите пути связки ключей и API Key в переменные окружения для единообразного чтения GitHub Actions и Jenkins.

3. 03
   Зарегистрируйте Runner и проверьте первый pipeline

   Сначала Debug-сборка для проверки компиляции, затем Release Archive + TestFlight; зафиксируйте lane Fastlane в репозитории.

Порог iOS CI/CD не в меню Xcode, а в стабильной предсказуемой мощности macOS + единой надёжной среде подписи. Публичные Runner подходят для редких сборок; свой датацентр — зрелым командам с ops; выделенный облачный Mac закрывает середину «не хочу ждать и не хочу покупать». Перенеся компиляцию в облако, локальный MacBook остаётся для кода, а не отдаёт вентилятор и память ночному CI.