[解決済み] OS X上のJenkins: xcodebuildでCode Signエラーが発生する

OS X上でサービスを実行するための一般的なベストプラクティスに従ったヘッドレスCIサーバーを実行する ( そのうちのいくつかは、ここで平易に説明されています ).

背景

• 2009 年 10 月 12 日-。 HudsonでiPhoneアプリのビルドを自動化する方法
• 2011年6月15日 - Mac OS X での Jenkins。git と ssh 公開鍵。
• 2011年6月23日 - JenkinsとTestFlightによるiOSアプリの継続的デプロイメント
• 2011年7月26日 - iOS および Mac 開発の Continuous Integration として Jenkins/Hudson を使用しているときに、キーチェーンに証明書と鍵が見つからない。
• 2011 年 8 月 30 日-。 Jenkins で Xcode プロビジョニング ファイルが見つかりません。
• 2011年9月20日 - MacでJenkins CIをセットアップする方法
• 2011年9月14日 - MacでJenkinsを動作させる
• 2011年11月12日 - ハウツー OS XにJenkinsをインストールし、Macのものをビルドできるようにする
• 2012年1月23日 - 今後の Jenkins OSX インストーラの変更点
• 2012年3月7日 - OSX インストーラーを使用していただきありがとうございます。

プロセス。

OS XからJenkins CIをインストールする インストーラパッケージ . インストールタイプは、「カスタマイズ」ボタンをクリックし、「起動時に'jenkins'として起動する」を選択します。

ディスカッションを行います。

この時点での素朴な期待は、フリースタイルのプロジェクトにビルドスクリプトの xcodebuild -target MyTarget -sdk iphoneos で動作するはずだということです。この投稿のタイトルが示すように、それはうまくいかず、失敗しました。

Code Sign error: The identity 'iPhone Developer' doesn't match any valid certificate/private key pair in the default keychain

何が必要かは十分に明らかです。有効なコード署名証明書とプライベート キーをデフォルトのキーチェーンに追加する必要があります。これを達成する方法を調査したところ、システムをあるレベルの脆弱性にさらすことのない解決策は見つかりませんでした。

問題 1: jenkins デーモン用のデフォルトのキーチェーンがない。

sudo -u jenkins security default-keychain ...yields "デフォルトのキーチェーンが見つかりませんでした"。

で指摘されているように Ivo Dancet によって、UserShellはデフォルトでjenkinsデーモンのために/usr/bin/falseに設定されています（私はこれはバグではなく機能だと思います）; UserShellをbashに変更するには彼の答えに従ってください。そうすると sudo su jenkins を使ってjenkinsユーザーとしてログインし、bashプロンプトを表示させることができます。

1. sudo su jenkins
2. cd ~/Library
3. mkdir Keychains
4. cd Keychains
5. security create-keychain <keychain-name>.keychain
6. security default-keychain -s <keychain-name>.keychain

OK、素晴らしい。これでデフォルトのキーチェーンができたので、次に進みましょう。しかし、まず、なぜわざわざデフォルトのキーチェーンを作ったのでしょうか？

私が調査中に読んだほとんどすべての回答、提案、または会話は、コード署名証明書とキーをシステムのキーチェーンにチャックすることを示唆していました。もし、あなたが security list-keychains を Jenkins のフリースタイルプロジェクトとして実行すると、利用可能なキーチェーンはシステムキーチェーンだけであることがわかります。しかし、これは非常に悪いアイディアのように思えます。 を開くには、パスワード付きのプレーンテキスト スクリプトを作成する必要があります。 .

問題2：コードサイニング証明書と秘密鍵の追加

ここが本当に不安になり始めるところです。Jenkinsで使用するために、新しい公開鍵/秘密鍵を作成する必要があると直感的に感じています。私の思考プロセスは、jenkins デーモンが侵害された場合、Apple の Provisioning Portal で証明書を簡単に失効させ、別の公開鍵/秘密鍵を生成することができます。もし私が自分のユーザーアカウントとJenkinsに同じキーと証明書を使うなら、jenkinsサービスが攻撃された場合、より多くの手間（損害？

ポインティング サイモン・アーバネク氏の回答 は、プレーンテキストのパスワードでスクリプトからキーチェーンのロックを解除することになります。jenkinsデーモンのキーチェーンに使い捨ての証明書と鍵以外を保持するのは無責任だと思います。

私は、反対の議論に非常に興味があります。私は過度に慎重なのでしょうか?

ターミナルでjenkinsデーモンとして新しいCSRを作成するために、私は次のようにしました...

1. sudo su jenkins
2. certtool r CertificateSigningRequest.certSigningRequest 次のようなプロンプトが表示されます (これらのほとんどは、私が経験的に正しい答えを推測したものですが、あなたはもっと良い洞察をお持ちですか？共有してください)...
   • キーと証明書のラベルを入力します。
   • アルゴリズムを選択します。 r (RSAの場合)
   • 鍵のサイズをビット数で入力します。 2048
   • 署名アルゴリズムを選択します。 5 (MD5の場合)
   • チャレンジ文字列を入力します。
   • 次に、RDNへの質問の数々
3. 生成された CSR ファイル (CertificateSigningRequest.certSigningRequest) を新しい Apple ID で Apple の Provisioning Portal に提出します。
4. 要求を承認し、.cer ファイルをダウンロードする
5. security unlock-keychain
6. security add-certificate ios_development.cer

これで一歩近づいた...。

問題 3: プロビジョニング プロファイルとキーチェーンのロック解除

何か悪いことが起こったときに少しでも影響が小さくなるようにと、CI で使用するためだけに特別なプロビジョニング プロファイルを Provisioning Portal で作成しました。ベスト プラクティスですか、それとも慎重すぎますか?

1. sudo su jenkins
2. mkdir ~/Library/MobileDevice
3. mkdir ~/Library/MobileDevice/Provisioning\ Profiles
4. Provisioning Portal で設定したプロビジョニングプロファイルを、この新しいフォルダーに移動します。 これで、コマンドラインから jenkins として xcodebuild を実行できるようになるまであと2歩です。つまり、Jenkins CI でビルドを実行できるようになるのもあと少しです。
5. security unlock-keychain -p <keychain password>
6. xcodebuild -target MyTarget -sdk iphoneos

これで、jenkinsデーモンとしてログインしたときにコマンドラインからビルドが成功しました。したがって、フリースタイルのプロジェクトを作成し、最後の2つのステップ（上記の#5と#6）を追加すれば、iOSプロジェクトのビルドを自動化することができます!

必要ないかもしれませんが、このすべてのセットアップに成功した後、jenkins UserShell を /usr/bin/false に戻すと気分がよくなりました。私は偏執狂でしょうか？

問題 4: デフォルトのキーチェーンがまだ利用できない!

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
        <key>EnvironmentVariables</key>
        <dict>
                <key>JENKINS_HOME</key>
                <string>/Users/Shared/Jenkins/Home</string>
        </dict>
        <key>GroupName</key>
        <string>daemon</string>
        <key>KeepAlive</key>
        <true/>
        <key>Label</key>
        <string>org.jenkins-ci</string>
        <key>ProgramArguments</key>
        <array>
                <string>/bin/bash</string>
                <string>/Library/Application Support/Jenkins/jenkins-runner.sh</string>
        </array>
        <key>RunAtLoad</key>
        <true/>
        <key>UserName</key>
        <string>jenkins</string>
        <!-- **NEW STUFF** -->
        <key>SessionCreate</key>
        <true />
</dict>
</plist>

security unlock-keychain -p mySecretPassword...