CI 与 errSecInternalComponent (Buildkite)

如何解决CI 与 errSecInternalComponent (Buildkite)

环境

嗨，我在我的 aws mac1.Metal 实例上使用 buildkite。这些代理在我们的组织中充当 CI 代理。实例现在在启动时启动 buildkite-agent（在 /Library/LauchDaemon 中通过 plist 完成）。这是我的plist

问题

代理尝试使用 python 子进程运行以下命令

subprocess.CalledProcessError: Command '['/usr/bin/codesign','-v','--sign','XXXXXXXXXXXXXXXXXXXXXXXXX','--entitlements','bazel-out/darwin-opt/bin/MYORG/iOS/WidgetExtension/WidgetExtension_entitlements.entitlements','--force','bazel-out/darwin-opt/bin/MYORG/iOS/WidgetExtension/WidgetExtension_archive-root/WidgetExtension.appex']

导致此错误：

ERROR:
--
  | bazel-out/darwin-opt/bin/MYORG/iOS/WidgetExtension/WidgetExtension_archive-root/WidgetExtension.appex: errSecInternalComponent

有趣的是，使用我在本地启动的代理运行相同的作业。 （ssh 进入机器，然后运行 ​​buildkite-agent start）然后它完美地工作。所以我想知道通过launchd将buildkite-agent作为守护进程启动和在本地启动它之间是否存在某种权限差异。 （类似于我之前打开的这个 issue，其中 bk 代理作为 launchd 守护进程失败，但如果在本地启动则成功）

我尝试修复/调试的事情

• errSecInternalComponent seems like a common issue with codesign 所以我尝试使用 security unlock-keychain -p password path/to/key

  锁定和解锁钥匙串

• 使用其他 CI 系统/工具的人也会遇到同样的问题，但主要是 solve when setting SessionCreate in their plist. 。试过了，还是不行

• VNC 进入 mac1.Metal ec2 实例并给 /usr/local/bin/buildkite-agent FDA - 仍然失败

• VNC 进入并打开 KeyChain 访问权限，并授予 /usr/local/bin/buildkite-agent 访问其签名有问题的私钥的权限 - 仍然失败

• 一切here

• Jenkins - Xcode build works codesign fails 在结帐后挂钩中创建临时密钥但仍然失败

想知道是否有任何协同设计/安全/构建风筝向导 ?‍♀️ ?‍♂️ 知道 launchd buildkite-agent 和 agent 在本地启动之间的区别吗？我觉得我错过了一个很大的问题。也许我的 plist 中缺少一个属性。

解决方法

我之前遇到过这个问题，您需要将 buildkite 代理作为 LaunchAgent 运行并配置自动登录，而不是作为 LaunchDaemon 运行。