决策矩阵 · 八步 Runbook · 钥匙串验收 · 与 CI 衔接
无自有 Mac、却在云端节点上跑 iOS 流水线的小团队一旦引入 Fastlane Match，最常卡在两类误判：一是以为纯 SSH就能覆盖整条签名链，二是把钥匙串弹窗当成「偶发网络问题」反复重试。本文先厘清 Match 在租用环境下的真实边界（加密 Git 仓库为可信源、本地钥匙串为会话缓存），再给「仅 CLI / SSH+VNC 分段 / 全程图形」三维决策矩阵、从初始化到 smoke 的八步 Runbook、四条可写进工单的结论，以及可在 VNC 里 20 分钟勾完的验收表；并与站内《首次 TestFlight 外测检查表》、《远程 Mac 首次使用清单》、《续费与换节点备份》互链，便于你把「能 ssh 登录」升级成「能稳定出包」。
Match 的核心是把证书与描述文件同步进受控 Git 仓库（常用 AES 加密），各机器通过同一 passphrase 解密并在本地钥匙串落地。租用云端 Mac 时，你必须接受三点：节点可能按时计费，调试钥匙串权限会把账单拉长；会话结束不等于仓库失效，但若从未把仓库当成唯一真相源，换机时会重演一遍手工导入；Apple 账号侧的变更（成员角色、Bundle ID、Capability）不会自动写回 Match，要靠你们的变更流程对齐。
可信源单一化：固定一支「证书管理员」分支策略；禁止在个人分支上手工改 *.mobileprovision 却不回写 Match。
会话用户一致性：SSH 登录用户与 launchd / CI job 用户必须是同一 macOS 账户，否则钥匙串分区不一致，表现为「本地能签、CI 不能签」。
时间与信任链：节点时间漂移会让 TLS 与 codesign 误判；先对照站内《系统时间与证书核对》再做 Match。
导出窗口：在租期结束前把加密仓库克隆权限、passphrase 备份位置、节点专用 deploy key写入运维 wiki，避免「机器没了，口令在人脑子里」。
图形缺口：Organizer 报错、账号二次验证、钥匙串「始终允许」——SSH 无法替你完成需要人机协同的一次性授权。
若团队已经在用 GitHub Actions 自托管 Runner，可把远程 Mac 视作「带图形能力的 Runner」：CLI 跑编译与 match nuke 类命令，图形会话负责账号绑定与一次性授权，不要在高峰期混用两种会话形态。
下面表格按任务类型 → 推荐接入方式 → 失败症状 → 常见误判排列，可直接转发给负责基础设施的同事；若你们要写入内部 wiki，可把「推荐接入」列映射为你们工单系统中的标签（例如 needs-vnc-once）。
| 任务 | 推荐接入 | 典型失败信号 | 常见误判 |
|---|---|---|---|
| 周期性 match（readonly） | SSH + 同一用户 cron | 间歇性 hang 在 security / codesign | 以为是 CocoaPods 慢 |
| 首次在本机导入证书 | VNC 同用户现场点钥匙串 | User interaction is not allowed | 反复删 DerivedData |
| 切换自动签名 / 描述文件 | VNC 打开 Xcode Accounts | 描述文件列表不同步 | 只改 Git 不改 GUI |
| Organizer 上传 / 验证码 | VNC | 上传卡在网关或需二次认证 | 增大 SSH keepalive |
| match nuke + 全量重建 | VNC 见证 + SSH 执行 | 团队成员并行登录冲突 | 多人共用单一 lease 不写锁 |
| 仅编译单元测试（已缓存证书） | SSH | 偶发钥匙串锁 | 以为是 Xcode 版本 bug |
把「需要点的对话框」提前标成 VNC 任务，比半夜在 SSH 里猜 hang 原因便宜得多。
与自建办公室 Mac 相比，云端节点的计费粒度更惩罚「无头重试」：若你在 SSH 里连续触发需要 GUI 的步骤，作业可能长时间占满 CPU 却零产出。应在 Runbook 里写死第一次失败就切 VNC的门槛，而不是第三次才桌面登录。
严格按序执行；若第 3 步与第 6 步之间插入「手工改钥匙串」而未记录，后续 CI 会不可复现。建议在工单模板里附上节点 hostname、用户、Xcode 版本三元组。
冻结工具链指纹：xcodebuild -version、fastlane --version、Ruby/Bundler 版本写入 README；与站内《系统更新与工具链冻结》对齐。
仓库与密钥：确认 Match 加密仓库 URL、deploy key、passphrase 托管位置（1Password / KMS）；禁止把 passphrase 明文放进公有 CI 日志。
VNC 首次 bootstrap：用将来跑 CI 的同一用户登录桌面，在 Xcode → Settings → Accounts 完成开发者账号登录；处理任何双重认证与条款。
终端初始化 Match：在桌面会话或 SSH（同一用户）执行 bundle exec fastlane match development（或你们封装 lane）；观察钥匙串弹窗并在桌面点允许 / 始终允许。
缓存校验：security find-identity -v -p codesigning 输出应与 Apple Developer 门户预期一致；截图存档。
最小 smoke：对示例 App 执行 Archive（可用 VNC 点 Organizer），再走一遍TestFlight 检查表中的上传前条目。
CI 对齐：把 ssh session、workspace path、钥匙串解锁策略（若有）写进 pipeline；禁止 CI 使用不同的 FASTLANE_SESSION 而不备案。
租期策略：按换节点清单导出描述文件副本或确认 Git 仓库已推送所有加密素材。
# 同一用户下：先桌面授权，再在 SSH 复跑只读同步 bundle exec fastlane match appstore --readonly security find-identity -v -p codesigning | head -n 20
提示：若必须在无图形会话跑 lane，考虑先把证书导入到该用户的登录钥匙串并由管理员在维护窗口点过一次批量授权——不要把此当成默认姿势，只适合冻结镜像的长期 Runner。
注意：不要在多人共用 lease 时并行执行 match nuke；先在 IM 频道抢全局互斥锁再操作。
下列表格假设你已打开 VNC，并与 SSH 使用同一本地账户。勾选完成后把截图附加到发布工单或变更单。
| 核对项 | 操作要点 | 通过标准 |
|---|---|---|
| 账号会话 | 菜单栏用户与 SSH whoami 一致。 | 不存在「桌面 A、job B」混用。 |
| Xcode Accounts | 团队与证书状态无黄色警告。 | 可列出预期 Team ID。 |
| 钥匙串搜索 | 钥匙串访问里检索 signing / Apple。 | 无重复过期条目堆积。 |
| match 只读拉取 | 终端执行 readonly lane。 | 退出码 0，profiles 目录更新时间与提交一致。 |
| codesign 探针 | 对构建产物 codesign -dvvv。 | Authority 链完整且无 ad-hoc。 |
| Organizer（如需） | 试上传或 Validate。 | 无阻塞型账号对话框。 |
若你们团队仍在评估「买 Mac mini 还是租云端」，可把本节表格与站内《租与买对照》合并评审：远程方案的优势在于按任务扩容与可审计桌面，代价是必须把VNC 接入写进标准作业而不是事后救火。
归档、上传与检查表，与 Match 后的分发衔接。
阅读 →开通与连接步骤，适合新节点 bootstrap。
阅读 →端口与隧道排查，避免 SSH 通了但 VNC 未开放。
阅读 →Fastlane 与 codesign 会触发钥匙串访问对话框；无图形会话时无人点击会表现为挂起或含糊错误。应在同一用户的 VNC 会话预先授权，或调整 lane 使会话内已完成导入。
会。节点上的钥匙串与临时导出属于会话资产；到期前按备份清单处理，并确保加密 Git 仓库始终可克隆。
常见做法是区分渠道与只读克隆权限；具体角色与密钥轮换以 Apple Developer 策略为准，并在远程机上限制凭证暴露面。
首次绑定账号、Organizer 上传失败、证书信任修复、自动签名切换，以及任何需要点按钥匙串始终允许的步骤——详见第二节矩阵。
Fastlane Match 解决的是证书与描述文件的版本管理，不是 magically 消灭 macOS 图形授权。只在 SSH 里跑命令却在关键时刻没人桌面登录，隐性成本体现为不确定的挂起时长与重复计费；自建硬件则要额外承担折旧、睡眠策略与固定席位闲置。
把 VNC 当作签名链的一部分基础设施而非可选奢侈品，才能在租用云端 Mac 时稳定对齐 Apple 账号、钥匙串与流水线三方状态。
若你希望按任务租用一台带完整桌面会话的物理 Mac，并在本文第五节同款表格下完成 Release 验收，可通过 VNCMac 下单远程节点：主按钮进入中文购买页；需要先比对 SSH 与 VNC 接入差异请查阅站点帮助页中的连接说明。