使用 Jenkins/Hudson 作为 iOS 和 Mac 开发的持续集成时，钥匙串中缺少证书和密钥

Question

我正在尝试改进 iOS 的 Hudson CI 并在系统启动时立即启动 Hudson。为此，我使用以下 launchd 脚本：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>Hudson CI</string>
    <key>ProgramArguments</key>
    <array>
    <string>/usr/bin/java</string>
    <string>-jar</string>
    <string>/Users/user/Hudson/hudson.war</string>
    </array>
    <key>RunAtLoad</key>
    <true/>
    <key>UserName</key>
    <string>user</string>
</dict>
</plist>

这工作正常，但是当由 Hudson 启动的 xcodebuild 尝试签署应用程序时，它会失败，因为它无法在钥匙串中找到正确的密钥/证书。但是，密钥/证书对是存在的，因为如果我从命令行启动 Hudson，它就能正常工作。

您知道为什么会发生这种情况吗？

Answer 1

我找到了一个解决方案，可以让我访问 Jenkins 用户的常规钥匙串。

找到此 plist：/Library/LaunchDaemons/org.jenkins-ci.plist 然后：

• 添加值为 jenkins 的 UserName 元素。
• 将值为 true 的 SessionCreate 元素添加到 plist 文件中。这将为您在 UserName 中指定的用户提供对普通钥匙串的访问权限。

示例：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>EnvironmentVariables</key>
    <dict>
        <key>JENKINS_HOME</key>
        <string>/Users/Shared/Jenkins/Home</string>
    </dict>
    <key>GroupName</key>
    <string>wheel</string>
    <key>KeepAlive</key>
    <true/>
    <key>Label</key>
    <string>org.jenkins-ci</string>
    <key>ProgramArguments</key>
    <array>
        <string>/bin/bash</string>
        <string>/Library/Application Support/Jenkins/jenkins-runner.sh</string>
    </array>
    <key>RunAtLoad</key>
    <true/>
    <key>UserName</key>
    <string>jenkins</string>
    <key>SessionCreate</key>
    <true/>
</dict>
</plist>

然后重新启动守护程序并尝试在 Jenkins 中运行一个调用 security list-keychains 的作业。您不应再将 System.keychain 视为唯一条目，而是将常规登录 和您可能已添加到列表中的任何 自定义钥匙串视为“jenkins”用户的钥匙串。

通过上述设置，我可以在 Jenkins 构建服务器上使用来自自定义钥匙串的协同签名证书。我不必在我的系统钥匙串中安装任何证书或密钥。

Answer 2

在花了几个小时和几天的时间解决这个问题之后，我找到了一个相当简单的解决方案。如上所述，您的 launchd 配置中是否有不同的用户名并不重要：

<key>UserName</key>
<string>user</string>

缺少的证书和密钥必须位于系统钥匙串 (/Library/Keychains/System.keychain) 上。我在设置执行多个 security shell 调用的 jenkins 作业后发现了这一点。有趣的是security list-keychains：

+ security list-keychains
    "/Library/Keychains/System.keychain"
    "/Library/Keychains/applepushserviced.keychain"
    "/Library/Keychains/System.keychain"

这是詹金斯将搜索证书和密钥的钥匙串，因此它们应该在那里。在我将证书移到那里后，它就可以工作了。确保您还将“Apple 全球开发者关系认证机构”证书复制到系统钥匙串，否则您将看到来自 codesign 的 CSSMERR_TP_NOT_TRUSTED 错误。

还可以使用 security list-keychains -s [附加钥匙串的路径] 注册更多钥匙串。我还没有尝试过，但是像 security list-keychains -s $HOME/Library/Keychains/login.keychain 这样的东西作为 jenkins 中的预构建 shell 执行可能会起作用。

编辑：我尝试使用-s将用户钥匙串添加到搜索路径，但无法使其正常工作。所以现在，我们必须将证书和密钥复制到系统钥匙串中。

编辑^2：阅读并使用 joensson'解决方案而不是我的，他设法访问用户钥匙串而不仅仅是系统钥匙串。

Answer 3

我们在 Mac OSX Lion 上作为启动守护程序启动的 hudson 从机也遇到了同样的问题。当我们使用 webstart 启动从站时，它起作用了。我们发现的唯一区别是环境变量不同。

com.apple.java.jvmTask=WebStart

有效，如果我们在没有 webstart 的情况下启动从站，则变量为

com.apple.java.jvmTask=CommandLine.java

我们发现没有办法预先影响该值。我建议您在 Hudson 中创建一个新节点，在同一台计算机上运行并由 webstart 启动。为了启动从站，我们使用以下 launchdaemon 配置：

<?xml version"1.0" encoding="UTF-8"?>
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>jenkins</string>
    <key>UserName</key>
    <string>apple</string>
    <key>Program</key>
    <string>/usr/bin/javaws</string>
    <key>ProgramArguments</key>
    <array>
        <string>-verbose</string>
        <string>-wait</string>
        <string>http://<hudson-hostname>:8080/computer/<node-name>/slave-agent.jnlp</string>
    </array>
    <key>RunAtLoad</key>
    <true/>
    <key>KeepAlive</key>
    <true/>
    <key>WorkingDirectory</key>
    <string>/Users/apple</string>
</dict>
</plist>

Answer 4

我遇到了同样的问题，并尝试更改 /Library/LaunchDaemons/org.jenkins-ci.plist 中的用户名，如其他帖子之一中所述。然而，它仍然不起作用，一些晦涩的NullPointerException并没有帮助我找出问题所在。因此，我只想分享我的解决方案：我还必须更改 JENKINS_HOME 目录的所有者（也在 org.jenkins-ci.plist 中定义）：

chown -R myBuildUser /Users/Shared/Jenkins

myBuildUser 是安装了证书的用户，这是安装证书的用户我在plist文件中指定。

当我最终意识到这个解决方案时，它是非常明显的 - 但我花了几个小时才找到这个问题，所以希望这篇文章可以为其他人节省时间:-)

Answer 5

添加这个是因为我遇到了同样的问题，但这些解决方案都不适合我。

我的问题是我的签名证书已过期。更新后，xcode 和手动运行 xcodebuild 工作正常，但 Jenkins 无法签署该应用程序。

以下是我修复此问题的方法：

1. 查看钥匙串并搜索密钥。由于某种我不明白的原因，我有多个结果。

2. 确保私钥位于系统级别（如果不是，则将其拖放到左侧的系统图标。

Answer 6

我们在 Lion 和 SnowLeopard 上遇到了完全相同的问题。我们必须启动 Tomcat/Hudson，将 xcodebuild 作业作为服务。从命令行启动时，xcodebuild 可以访问 login.keychain 以使用包含的证书。但重启盒子后，login.keychain 对 xcodebuild 不可见，因此签名失败。

由于我们需要通过钥匙串提供公司证书，因此系统钥匙串不是一个选项。相反，我们通过一个简单的解决方法解决了这个问题。我们删除了用户名，以便启动守护程序在 root 下启动进程。

<plist version="1.0">
 <dict>
   <key>Label</key>
   <string>${LAUNCH_LABEL}</string>
   <key>Disabled</key>
   <false/>
   <key>RunAtLoad</key>
   <true/>
   <key>ProgramArguments</key>
   <array>
     <string>${INSTALL_DIR}/start.sh</string>
   </array>
   <key>StandardOutPath</key>
   <string>${INSTALL_DIR}/tomcat-stdout.log</string>
   <key>StandardErrorPath</key>
   <string>${INSTALL_DIR}/tomcat-stderr.log</string>
 </dict>
</plist>

启动守护进程调用一个简单的脚本（start.sh），模拟完整登录并运行所需的程序

su -l username -c program

现在，即使在启动后，xcodebuild也可以访问login.keychain。这也适用于 Snow Leopard，但是，如果您在并行会话中关闭用户特定的 login.keychain（如 vnc 登录/注销），则钥匙串会丢失。狮子的行为有所不同。似乎 Lion 将钥匙串与用户分离并将其分配给登录会话。

Answer 7

你可以尝试我的 Jenkins.app，https://github.com/stisti/jenkins-app ，运行 Jenkins 的另一种方式。它在用户会话中运行 Jenkins，因此钥匙串访问不是问题。

Answer 8

为了为 Jenkins/Hudson 保留一个分隔的钥匙串，我将 launchctl 项从 移至

/Library/LaunchDaemons/org.jenkins-ci.plist

，

/Users/Shared/Jenkins/Home/Library/LaunchAgents/org.jenkins-ci.plist

这使我能够访问为 Jenkins 创建的私有钥匙串。

Answer 9

添加
会话创建

并在钥匙串管理器中将大量证书设置为“始终信任”
为我工作，从 plist 开始使用 buildbot...但在某些时候，协同设计开始失败
与 CSSMERR_TP_NOT_TRUSTED。我通过在钥匙串管理器中将 iPhone 分发证书设置为“使用系统默认值”来恢复。即使重新启动后，无需登录，
然后，构建机器人奴隶就能够签署代码了，哇哦。

Answer 10

对于手动签名 将您的证书从登录移动到钥匙串中的系统。在存档和生成 iPA 期间无法访问登录。