Нотаризация доказывает, что Apple просканировала ваши бинарники; степплинг (stapling) встраивает тикет, чтобы Gatekeeper мог проверять офлайн. Команды без решения «всегда степплить» теряют минуты на каждой сборке; «никогда не степплить» узнают об изолированных лабораториях слишком поздно. На CI-раннерах Mac mini M4—особенно выделенных хостах NodeMac в Гонконге, Японии, Корее, Сингапуре или США—опубликуйте матрицу, связывающую политику степплинга с каналом доставки, сетевыми допущениями и типом артефакта. Статья даёт две матрицы, восемь шагов внедрения и FAQ-структурированные данные в духе того, как ревьюеры безопасности читают конвейеры.
Контекст хранения: удержание диска и артефактов и кеши с ключом по lockfile. Для GUI-сравнения двух подписанных деревьев используйте VNC на том же хосте NodeMac. Цены; помощь.
Gatekeeper: онлайн-поиск тикета vs степпленный тикет
macOS может успешно нотаризоваться и всё же удивить пользователей, если тикет не степплен и машина не достигает сервисов Apple при первом запуске. Наоборот, степплинг меняет внешний контейнер (например .dmg), что ломает наивные контрольные суммы, если хешировать слишком рано. Политика CI должна называть какая контрольная сумма — аудиторский артефакт (до степплинга) и какой blob уходит клиентам (после степплинга).
- Только тикет: самая быстрая итерация, когда у лабораторных Mac стабильный egress и вы контролируете политики повторной проверки.
- Степплено: по умолчанию для клиентских образов, офлайн-установщиков и полевых ноутбуков.
- Гибрид: степплить только релизные каналы; ночные сборки — только тикет с явными баннерами.
Матрица A: степплинг vs тикет по пути доставки
| Артефакт и путь | Степплить? | Обоснование |
|---|---|---|
| Разработческий .dmg на USB-киосках | Да | Офлайн-путь Gatekeeper; избегаем зависимости от CDN при первом запуске |
| Внутренний дымовой CI-инсталл на проводных лабораторных Mac | По желанию | Если egress мониторится и сбои приемлемы, только тикет ускоряет циклы |
| pkg от MDM со степплингом после установки | Любой вариант | Задокументируйте, кто степплит—конвейер или MDM—чтобы избежать двойной работы |
| Конвейер загрузки в App Store | Следуйте документации Apple по транспорту | Другой потребитель; не копируйте слепо правила настольных DMG |
Матрица B: порядок стадий CI и проверка
| Стадия | Семейство команд | Критерии успеха |
|---|---|---|
| Подпись | codesign флаги hardened runtime по матрице entitlements |
codesign --verify --deep --strict чисто |
| Нотаризация | notarytool submit + опрос |
В логе Accepted; ID отправки архивирован |
| Степплинг | xcrun stapler staple |
stapler validate OK на чистой ВМ |
| Дым | Запуск приложения с смонтированного образа | Нет диалога «повреждено»; телеметрия совпадает с ожидаемой версией |
Числовые ограничения
- Бюджет таймаута: минимум 25 минут на опрос notary для релизных поездов; короче на фиче-ветках только если принимаете флаки.
- Параллельные отправки: ограничьте одновременные задания notary на хост до 2, чтобы не сталкиваться с троттлингом Apple на пиках Xcode.
- Неизменяемость артефактов: загружайте степпленные объекты под новым ключом объекта; не перезаписывайте на месте.
Совет по аудиту: к тикету изменения прикрепляйте и ID отправки notary, и SHA-256 артефакта до степплинга. Степплинг не заменяет логи подписи.
Восемь шагов внедрения
- Инвентаризация каналов, куда уходит каждый тип сборки (лаборатория, клиент, MDM).
- Закодировать матрицу в шаблонах конвейера—не племенные знания в Slack.
- Разделить задания: сборка/подпись, нотаризация, степплинг, публикация с разными кешами.
- Добавить дым на ВМ, опционально отключая исходящие конечные точки Apple для поиска отсутствующего степплинга.
- Хранить логи notarytool в том же бакете удержания, что и прочие доказательства подписи.
- Ротировать сертификаты подписи по календарю; после каждой ротации снова прогонять матрицу.
- Обучить дежурных различать ошибки stapler и notarytool—разные владельцы.
- Выделенные M4 по регионам, когда очереди вынуждают к рискованным ярлыкам—NodeMac убирает конкуренцию за железо из политических споров.
FAQ
Когда CI обязан степплить?
Когда пользователи ставят офлайн или из сетей, которыми вы не управляете. Только тикет для хорошо подключённых внутренних циклов, если это задокументировано.
Ломает ли степплинг кеш контрольных сумм?
Да—хеш до степплинга для аудита; пост-степплинг blob — отгрузочный артефакт с собственной суммой.
Что если stapler слишком рано?
Gatekeeper отклонит как повреждённые приложения. Порядок: подпись → нотаризация → проверка → степплинг → валидация.