決策矩陣 · 八步 Runbook · 鑰匙串驗收 · 與 CI 銜接
無自有 Mac、卻在雲端節點上跑 iOS 流水線的小團隊一旦引入 Fastlane Match，最常卡在兩類誤判：一是以為純 SSH就能覆蓋整條簽名鏈，二是把鑰匙串彈窗當成「偶發網絡問題」反覆重試。本文先釐清 Match 在租用環境下的真實邊界（加密 Git 倉庫為可信源、本地鑰匙串為會話緩存），再給「僅 CLI / SSH+VNC 分段 / 全程圖形」三維決策矩陣、從初始化到 smoke 的八步 Runbook、四條可寫進工單的結論，以及可在 VNC 裡 20 分鐘勾完的驗收表；並與站內《首次 TestFlight 外測檢查表》、《遠程 Mac 首次使用清單》、《續費與換節點備份》互鏈，便於你把「能 ssh 登入」升級成「能穩定出包」。
Match 的核心是把證書與描述文件同步進受控 Git 倉庫（常用 AES 加密），各機器通過同一 passphrase 解密並在本地鑰匙串落地。租用雲端 Mac 時，你必須接受三點：節點可能按時計費，調試鑰匙串權限會把帳單拉長；會話結束不等於倉庫失效，但若從未把倉庫當成唯一真相源，換機時會重演一遍手工導入；Apple 帳號側的變更（成員角色、Bundle ID、Capability）不會自動寫回 Match，要靠你們的變更流程對齊。
可信源單一化：固定一支「證書管理員」分支策略；禁止在個人分支上手工改 *.mobileprovision 卻不回寫 Match。
會話用戶一致性：SSH 登入用戶與 launchd / CI job 用戶必須是同一 macOS 帳戶，否則鑰匙串分區不一致，表現為「本地能籤、CI 不能籤」。
時間與信任鏈：節點時間漂移會讓 TLS 與 codesign 誤判；先對照站內《系統時間與證書核對》再做 Match。
導出窗口：在租期結束前把加密倉庫克隆權限、passphrase 備份位置、節點專用 deploy key寫入運維 wiki，避免「機器沒了，口令在人腦子裡」。
圖形缺口：Organizer 報錯、帳號二次驗證、鑰匙串「始終允許」——SSH 無法替你完成需要人機協同的一次性授權。
若團隊已經在用 GitHub Actions 自託管 Runner，可把遠程 Mac 視作「帶圖形能力的 Runner」：CLI 跑編譯與 match nuke 類命令，圖形會話負責帳號綁定與一次性授權，不要在高峰期混用兩種會話形態。
下面表格按任務類型 → 推薦接入方式 → 失敗症狀 → 常見誤判排列，可直接轉發給負責基礎設施的同事；若你們要寫入內部 wiki，可把「推薦接入」列映射為你們工單系統中的標籤（例如 needs-vnc-once）。
| 任務 | 推薦接入 | 典型失敗信號 | 常見誤判 |
|---|---|---|---|
| 周期性 match（readonly） | SSH + 同一用戶 cron | 間歇性 hang 在 security / codesign | 以為是 CocoaPods 慢 |
| 首次在本機導入證書 | VNC 同用戶現場點鑰匙串 | User interaction is not allowed | 反覆刪 DerivedData |
| 切換自動簽名 / 描述文件 | VNC 打開 Xcode Accounts | 描述文件列表不同步 | 只改 Git 不改 GUI |
| Organizer 上傳 / 驗證碼 | VNC | 上傳卡在網關或需二次認證 | 增大 SSH keepalive |
| match nuke + 全量重建 | VNC 見證 + SSH 執行 | 團隊成員並行登入衝突 | 多人共用單一 lease 不寫鎖 |
| 僅編譯單元測試（已緩存證書） | SSH | 偶發鑰匙串鎖 | 以為是 Xcode 版本 bug |
把「需要點的對話框」提前標成 VNC 任務，比半夜在 SSH 裡猜 hang 原因便宜得多。
與自建辦公室 Mac 相比，雲端節點的計費粒度更懲罰「無頭重試」：若你在 SSH 裡連續觸發需要 GUI 的步驟，作業可能長時間佔滿 CPU 卻零產出。應在 Runbook 裡寫死第一次失敗就切 VNC的門檻，而不是第三次才桌面登入。
嚴格按序執行；若第 3 步與第 6 步之間插入「手工改鑰匙串」而未記錄，後續 CI 會不可復現。建議在工單模板裡附上節點 hostname、用戶、Xcode 版本三元組。
凍結工具鏈指紋：xcodebuild -version、fastlane --version、Ruby/Bundler 版本寫入 README；與站內《系統更新與工具鏈凍結》對齊。
倉庫與密鑰：確認 Match 加密倉庫 URL、deploy key、passphrase 託管位置（1Password / KMS）；禁止把 passphrase 明文放進公有 CI 日誌。
VNC 首次 bootstrap：用將來跑 CI 的同一用戶登入桌面，在 Xcode → Settings → Accounts 完成開發者帳號登入；處理任何雙重認證與條款。
終端初始化 Match：在桌面會話或 SSH（同一用戶）執行 bundle exec fastlane match development（或你們封裝 lane）；觀察鑰匙串彈窗並在桌面點允許 / 始終允許。
緩存校驗：security find-identity -v -p codesigning 輸出應與 Apple Developer 門戶預期一致；截圖存檔。
最小 smoke：對示例 App 執行 Archive（可用 VNC 點 Organizer），再走一遍TestFlight 檢查表中的上傳前條目。
CI 對齊：把 ssh session、workspace path、鑰匙串解鎖策略（若有）寫進 pipeline；禁止 CI 使用不同的 FASTLANE_SESSION 而不備案。
租期策略：按換節點清單導出描述文件副本或確認 Git 倉庫已推送所有加密素材。
# 同一用戶下：先桌面授權，再在 SSH 復跑只讀同步 bundle exec fastlane match appstore --readonly security find-identity -v -p codesigning | head -n 20
提示：若必須在無圖形會話跑 lane，考慮先把證書導入到該用戶的登入鑰匙串並由管理員在維護窗口點過一次批量授權——不要把此當成默認姿勢，只適合凍結鏡像的長期 Runner。
注意：不要在多人共用 lease 時並行執行 match nuke；先在 IM 頻道搶全局互斥鎖再操作。
下列表格假設你已打開 VNC，並與 SSH 使用同一本地帳戶。勾選完成後把截圖附加到發布工單或變更單。
| 核對項 | 操作要點 | 通過標準 |
|---|---|---|
| 帳號會話 | 菜單欄用戶與 SSH whoami 一致。 | 不存在「桌面 A、job B」混用。 |
| Xcode Accounts | 團隊與證書狀態無黃色警告。 | 可列出預期 Team ID。 |
| 鑰匙串搜索 | 鑰匙串訪問裡檢索 signing / Apple。 | 無重複過期條目堆積。 |
| match 只讀拉取 | 終端執行 readonly lane。 | 退出碼 0，profiles 目錄更新時間與提交一致。 |
| codesign 探針 | 對構建產物 codesign -dvvv。 | Authority 鏈完整且無 ad-hoc。 |
| Organizer（如需） | 試上傳或 Validate。 | 無阻塞型帳號對話框。 |
若你們團隊仍在評估「買 Mac mini 還是租雲端」，可把本節表格與站內《租與買對照》合併評審：遠程方案的優勢在於按任務擴容與可審計桌面，代價是必須把VNC 接入寫進標準作業而不是事後救火。
歸檔、上傳與檢查表，與 Match 後的分發銜接。
閱讀 →開通與連接步驟，適合新節點 bootstrap。
閱讀 →埠與隧道排查，避免 SSH 通了但 VNC 未開放。
閱讀 →Fastlane 與 codesign 會觸發鑰匙串訪問對話框；無圖形會話時無人點擊會表現為掛起或含糊錯誤。應在同一用戶的 VNC 會話預先授權，或調整 lane 使會話內已完成導入。
會。節點上的鑰匙串與臨時導出屬於會話資產；到期前按備份清單處理，並確保加密 Git 倉庫始終可克隆。
常見做法是區分渠道與只讀克隆權限；具體角色與密鑰輪換以 Apple Developer 策略為準，並在遠程機上限制憑證暴露面。
首次綁定帳號、Organizer 上傳失敗、證書信任修復、自動簽名切換，以及任何需要點按鑰匙串始終允許的步驟——詳見第二節矩陣。
Fastlane Match 解決的是證書與描述文件的版本管理，不是 magically 消滅 macOS 圖形授權。只在 SSH 裡跑命令卻在關鍵時刻沒人桌面登入，隱性成本體現為不確定的掛起時長與重複計費；自建硬體則要額外承擔折舊、睡眠策略與固定席位閒置。
把 VNC 當作簽名鏈的一部分基礎設施而非可選奢侈品，才能在租用雲端 Mac 時穩定對齊 Apple 帳號、鑰匙串與流水線三方狀態。
若你希望按任務租用一臺帶完整桌面會話的物理 Mac，並在本文第五節同款表格下完成 Release 驗收，可通過 VNCMac 下單遠程節點：主按鈕進入中文購買頁；需要先比對 SSH 與 VNC 接入差異請查閱站點幫助頁中的連接說明。