Impossibile firmare build iOS con Jenkins

Question

Il nostro server di build CI Jenkins è configurato su un Mac Mini con OSX Lion (10.7.3) e ho difficoltà a farlo firmare i build iOS in modo che possano essere caricati su a TestFlight.

Il processo è in esecuzione come utente normale denominato jenkins ed è avviato all'avvio utilizzando launchd. (La macchina non è accessibile al mondo esterno, quindi non ci dovrebbero essere problemi di sicurezza con l'esecuzione di questo con un account utente normale.)

Ecco l'errore nell'output console da Jenkins:

[workspace] $ /usr/bin/xcodebuild -target iMobileStCloud -configuration Release clean build 
=== CLEAN NATIVE TARGET MyApp OF PROJECT MyProject WITH CONFIGURATION Release === 
Check dependencies 
[BEROR]Code Sign error: The identity 'iPhone Distribution' doesn't match any valid certificate/private key pair in the default keychain 

Parte del problema sembra essere che solo il portachiavi di sistema è disponibile quando il processo viene avviato da launchd in fase di boot. Ho aggiunto uno script per il processo di generazione di elencare i portachiavi:

[workspace] $ /bin/sh -xe /var/folders/1y/1q3st_ss58z9ffj4dwbkdw8r0000gt/T/hudson8514187812830984272.sh 
+ /usr/bin/security list-keychains 
    "/Library/Keychains/System.keychain" 
    "/Library/Keychains/applepushserviced.keychain" 
    "/Library/Keychains/System.keychain" 
+ /usr/bin/security find-identity 

sono stato in grado di trovare due soluzioni, ma nessuno dei due è davvero fattibile:

1. Se abbiamo accesso al server e riavviare il processo launchd ogni volta che la macchina viene riavviata jenkins quindi è in grado di caricare il portachiavi di login ed accedere ai certificati per la firma:

   sudo launchctl unload /Library/LaunchDaemons/org.jenkins-ci.plist 
   sudo launchctl load /Library/LaunchDaemons/org.jenkins-ci.plist 
   

2. Possiamo aggiungere i certificati al portachiavi di sistema, ma questo significa che non possiamo usare questa macchina per fare i build della distribuzione dell'app store. (Xcode non ama il portachiavi del sistema).

Qualcun altro ha trovato altri soluzioni alternative? C'è qualcos'altro oltre a launchd che posso usare per eseguire i processi all'avvio su OSX?

Answer 1

Ho risolto questo problema aggiungendo SessionCreate = true al mio file org.jenkins-ci.plist. Questa chiamata inizializza il framework di sicurezza.

Fonte: http://developer.apple.com/library/mac/#technotes/tn2083/_index.html

Vedi miniera nella sua interezza qui di seguito:

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
<key>EnvironmentVariables</key> 
<dict> 
    <key>JENKINS_HOME</key> 
    <string>/Users/Shared/Jenkins/Home</string> 
</dict> 
<key>GroupName</key> 
<string>daemon</string> 
<key>KeepAlive</key> 
<true/> 
<key>Label</key> 
<string>org.jenkins-ci</string> 
<key>ProgramArguments</key> 
<array> 
    <string>/bin/bash</string> 
    <string>/Library/Application Support/Jenkins/jenkins-runner.sh</string> 
</array> 
<key>RunAtLoad</key> 
<true/> 
<key>UserName</key> 
<string>jenkins</string> 
<key>SessionCreate</key> 
<true/> 
</dict> 
</plist> 

Answer 2

Ho avuto lo stesso problema. Il problema principale è in realtà causato quando launchd lancia un LaunchDaemon. Anche se si specifica che l'utente che si desidera eseguire il processo di avvio sotto di esso non viene eseguito come se si fosse connessi come tale utente. Ecco perché non vedi il portachiavi di accesso nell'elenco dei portachiavi disponibili per Jenkins.

Mi sono imbattuto in un lavoro che riguardava la chiamata su - yourbuilduser -c ./start-jenkins.sh, dove start-jenkins.sh è uno script di avvio personalizzato, da launchd plist (come LaunchDaemon). Questo garantisce l'accesso al portachiavi di login ma rende difficile il controllo da parte di Jenkins. Nello specifico, non puoi fermare Jenkins chiamando lo launctl unload ... e devi uccidere il processo manualmente.

Attualmente stiamo eseguendo il nostro CI iOS utilizzando un plist in LaunchAgents (che inizia Jenkins usando java -jar jenkins.war) piuttosto che in LaunchDaemon. Noiosamente, questo significa che l'utente deve essere connesso al server (non un problema se la tua macchina è all'interno della tua rete privata o in una DMZ configurata correttamente), tuttavia significa anche che il processo di Jenkins può essere controllato da launchctl e che ha accesso al portachiavi dell'utente. È possibile impostare l'utente per l'accesso automatico in modo da ottenere Jenkins all'avvio.

Sono riuscito ad automatizzare quasi ogni aspetto di una pipeline di Continuous Delivery per i binari di iOS, questa è l'unica parte in cui la mia soluzione non sembra giusta (idealmente, sarei solo in grado di usare un LaunchDaemon che avrebbe accesso al portachiavi dell'utente).

Answer 3

Si potrebbe anche provare il mio programma di installazione Jenkins alternativo che esegue Jenkins come applicazione.

Il progetto è https://github.com/stisti/jenkins-app. Download sono https://github.com/stisti/jenkins-app/downloads

Jenkins deve essere eseguito nel contesto dell'utente per poter accedere ai portachiavi.