2026 Jenkins とリモート Mac SSH エージェントLinux コントローラー · macOS ビルド ノード · GitHub アクションとの比較

Jenkins を接続する前に: 「Linux コントローラー + リモート Mac エージェント」レビューを狂わせる 7 つの前提条件

多くの企業は Mac に不足しているわけではありません。監査可能、スケーラブル、ロールバックしやすい契約: コントローラーを使い慣れた Linux 上に維持し、macOS ビルドのファンアウトを専用のクラウド Mac に移動します。以下の 7 つの項目は、「私たちは Jenkins を信じています」を署名できるリスク表に変えます。

1. 01

   リモート Mac を「xcodebuild を実行する Linux」のように扱います。 ignoring TCC、キーチェーン、および時折の GUI 依存関係により、初回実行の署名とプロビジョニングが爆発的に増加します。

2. 02

   CI に個人の macOS アカウントを再利用する:スリープ ポリシー、更新プロンプト、およびデスクトップ セッションにより、真の無人フローが破壊されます。専用の CI ユーザーを作成し、reproducible builds.

3. 03

   CPU コアのみによる同時実行のサイジング:Xcode のメモリ スパイクと NVMe 書き込み増幅は通常、CPU よりも前に影響を及ぼします。バケツなしDerivedData、2 つのジョブが互いにデッドロックする可能性があります。

4. 04

   コントローラーからエージェントへの SSH パスの違いを無視します。要塞、キーローテーション、およびStrictHostKeyCheckingポリシーは IaC 内に存在する必要があります。そうしないと、ローテーション日にすべて赤のキューが取得されます。

5. 05

   プラグインのスプロールをデザインの代わりに使用します。重い Groovy とエージェント上のアドホック シェルにより MTTR が長くなります。最小限のプラグイン セットと明示的なツールチェーン バージョンを定義します。

6. 06

   エージェント上にのみアーティファクトを残します。オブジェクト ストレージまたはアーティファクト リポジトリへのアーカイブがなければ、ディスクとコンプライアンスの両方が影響を受け、保持期間がパイプライン ポリシーに関連付けられます。

7. 07

   「最初の人間窓口」計画はありません:最初の署名マテリアルのインストールでは、ヘッドレスに戻る前に 1 回限りの VNC またはデスクトップの確認が必要な場合があります。SSH と VNC のチェックリスト.

一般的な根本原因は、「リモート Mac」をコンピュータではなく生のコンピューティングとして扱うことです。ステートフル Apple ツールチェーン ホスト。プラットフォーム チームは、データベースのレプリカと同じように、イメージのフィンガープリント、ツールチェーンのバージョン、キーチェーンの境界、クリーンアップ ウォーターマークを管理する必要があります。とペアリングするエンタープライズ ビルド プール: 複数のアプリがホストを共有する場合、Jenkins ラベルは「任意の Mac」より細かくなければなりません。そうしないと、キュー セマンティクスで分離を表現できません。

GitHub Actions に対して、実際の差は「コンパイルできるかどうか」ではなく、イベントソースと資格情報の境界: Jenkins は、クロスリポジトリ オーケストレーションと cron スタイルのジョブで優れています。アクションは PR ネイティブのワークフローで威力を発揮します。すでにジョブ DSL と承認を標準化している場合、SSH 経由で macOS を追加することは、多くの場合、2 番目の CI 宗教を開始するよりも混乱が少なくなります。ただし、エンドツーエンドで PR 主導型の場合、自己ホスト型ランナーの必要な接着剤は少なくなる可能性があります。読んでくださいrunner guideノードを登録する前にセクションをキャッシュします。ほとんどのディレクトリ契約は直接翻訳されます。

次の表は比較をロックしているため、四半期ごとにロゴを再訴訟することなくコントロール プレーンを選択できます。

リモート Mac を Jenkins SSH エージェントとして登録し、最初のグリーン ビルドに到達するための 6 つのステップ

順序は重要です。最初に ID とディレクトリ、2 番目にツールチェーン プローブ、最後に同時実行性です。と揃えるreproducible buildsしたがって、Jenkins は、署名が不安定なままであるにもかかわらず「SSH が機能する」ことを証明するだけではありません。

1. 01

   専用ユーザーを作成し、root として作業します。 e.g. /Users/ci/jenkins; forbid sharing ~/Desktop人間とともに。コントローラーはキーベースの認証のみを使用します。

2. 02

   Jenkins ノードを作成します。 launch via SSH、macOS 側のホスト、認証情報、リモート ルート、および JVM パスを設定します。

3. 03

   Label for intent: at least ios, xcode-16, heavy-pod- 依存性の高いインストールをコンパイルのみのジョブから分離します。

4. 04

   最初にヘルス ジョブを実行します。 print xcode-select -p, swift --version、ディスク、メモリのスナップショット。受け入れの証拠としてログを保存します。

5. 05

   パイプラインで明示的な DerivedData を渡します。 match SwiftPM/ポッドのガバナンス— リポジトリごとのバケット、デフォルトを回避~/Library/Developer/Xcode/DerivedData sharing.

6. 06

   タイムアウト、アーカイブ、クリーンアップを定義します。ログのアップロード、失敗時の保持、ディスクがウォーターマークを超えた場合の停止スケジュール ルール。

pipeline {
  agent { label 'ios && xcode-16' }
  options { timestamps(); timeout(time: 45, unit: 'MINUTES') }
  environment { DERIVED_DATA = "${WORKSPACE}/DerivedData" }
  stages {
    stage('Probe') { steps { sh 'xcode-select -p; xcodebuild -version; df -h' } }
    stage('Build') {
      steps {
        sh 'xcodebuild -scheme "App" -configuration Release -destination "generic/platform=iOS" -derivedDataPath "$DERIVED_DATA" build'
      }
    }
  }
  post { always { archiveArtifacts artifacts: '**/build.log', allowEmptyArchive: true } }
}

コントローラーのアップグレードの日に、アップグレードの前後で同じコミットをカナリア化し、フィンガープリント出力とビルド時の分布を比較します。に対してrunner caching: Jenkins ワークスペース ワイプが攻撃的すぎるため、強制的にいっぱいになりますpod install走るたびに。保守的すぎるワイプはディスクを埋める - プラットフォームと製品で保持層を定義します。

ベンダーが非標準の SSH ポートと非 root ユーザーを提供する場合は、接続メタデータを資格情報の説明に保存し、ジョブ全体に分散しないようにします。とペアリングしますSSH checklist for known_hostsホストキーチェックをグローバルに無効にする代わりにポリシーを適用します。

設計レビューに貼り付けることができる参照番号 (GDPR 運用メモ付き)

並列処理とリポジトリのサイズに合わせてしきい値を調整します。これらのアンカーは、セキュリティ チームとプラットフォーム チームを連携させます。 EU を多用する組織の場合は、ログを記録しますどのマシンがどの署名 ID にアクセスしたかDSGVO 監査の質問をサポートするため、リモート ノードは匿名のペットであってはなりません。

• Disk watermark: keep ≥20%システムボリューム上の空き領域。その下では、削除する前にスケジュールを一時停止し、監査のために削除されたパスをログに記録します。
• Concurrency probe:単一ジョブのピーク RAM のベースラインを設定し、P95 を監視しながら同時実行性を高めます。Apple Siliconコンパイル/リンクのピークは平均を小さくすることがよくあります。
• ノード受け入れチェックリスト: record xcodebuild -version, swift --version、CocoaPods が使用されている場合の Ruby/Bundler、およびディスク モデル。変更後にカナリア ジョブを再実行します。

オフィスのラップトップやワンオフの Mac mini では、スリープ、ネットワークのジッター、ツールチェーンのドリフトが発生します。純粋な Linux は Apple の公式 iOS スタックを実行できません。 macOS ビルドを Linux に移行しながら Jenkins を Linux 上に維持する専用、常時接続、SSH 接続可能ノードは「どこかに Mac が必要だ」ということを運用契約に変えます。アドホック ハードウェアや不安定な仮想化ホストと比較して、NodeMiniのMac Miniクラウドレンタル固定 SSH、クリア ディスク層、反復可能なプロファイルのペアであり、プラットフォーム グレードの CI に適しています。レベルを比較するrental rates and onboard via the help center.

この Runbook を内部の「ツールチェーン変更レベル」にバインドします。Xcode パッチ、マイナー アップグレード、メジャー アップグレードでは、異なる承認、カナリア スコープ、キャッシュ無効化ルールが必要です。