2026 — Pipelines iOS/macOS pour équipes globales : les dépôts d'artefacts privés et les miroirs de dépendances doivent-ils être « avec les Mac physiques multi-régions » ou « avec les développeurs » ? Longue traîne des pulls, résidence conformité et routage des runners — matrices, timeouts à copier-coller et FAQ
Les équipes plateforme hésitent entre des miroirs en lecture seule à côté des Mac physiques régionaux et des miroirs sur le réseau des bureaux. Cet article propose trois matrices de seuils prêtes à faire signer (longue traîne, résidence × routage), un runbook en sept étapes, des extraits Git/curl/SPM à coller, une FAQ — et le coût caché des files mal appariées.
1. Points de douleur
- Décalage de chemin : le runner est à Tokyo alors que les registres de conteneurs privés et Git LFS sont en us-west — files vertes, mais résolution/téléchargement consomme plus de 40 % du temps mural même si le Mac est « dans le bon pays ».
- Conformité vs performance : la résidence impose builds et artefacts en UE, mais un cache npm/CocoaPods mondial unique est au siège — soit violation de politique, soit chaque job CI tire des archives à travers les régions.
- Stabilité cachée : augmenter les timeouts masque congestion et jitter DNS, produisant des jobs de 30 minutes qui « marchent parfois ». Sans routage région + capacité, canary et production partagent parfois le mauvais miroir amont.
Pour relier pools régionaux et arbitrages conformité, voir Gouvernance des caches de build iOS 2026 : Derived Data et dépendances. Si le goulot est la jambe vers Apple plutôt que le fetch des dépendances, comparer avec TestFlight transfrontalier : Mac physique avec le runner de build ou près d'App Store Connect ?
2. Dépôts privés / miroirs : colocalisation avec le runner ou avec les développeurs
« Côté développeurs » signifie en pratique WAN du bureau, VPN ou ingress au siège. « Côté runner » signifie la même région cloud ou métro que le Mac physique qui exécute xcodebuild / archive. Règle par défaut : sur le chemin chaud CI, les miroirs d'index et de dépendances en lecture seule suivent le runner ; les clients épais pour parcourir le code peuvent rester côté humain.
| Signal / métrique | Privilégier : même région que les Mac runners physiques multi-régions | Privilégier : près des réseaux développeurs (ou double entrée) |
|---|---|---|
| Part résolution/fetch dans le temps mural | ≥ 35 % avec RTT transocéanique dans les journaux | < 15 % ; compilation et tests dominent |
| Sens du trafic d'artefacts | Le runner tire souvent des binaires / LFS à l'échelle Go | Surtout les ingénieurs en local (pod install / résolution SPM) |
| Fréquence de changement | La CI frappe le même espace de cache des dizaines de fois par heure | Sites doc internes ou dépôts de specs peu fréquents (mises à jour quotidiennes) |
| Focus audit | Prouver que les builders ne sortent jamais pour les dépendances | Garantir que les ingénieurs ne contournent pas le SSO vers l'amont public |
3. Seuils longue traîne : réplique, lien privé ou timeouts ?
Séparez le « lent » structurel (distance / bande passante) de l'épisodique (congestion, certificats, proxies). Corrigez la topologie pour le premier ; retries, plafonds de concurrence et détection basse vitesse pour le second.
| Observation (P95) | Première action | Seconde action |
|---|---|---|
| RTT runner→registre 80–150 ms et stable | Déployer réplique lecture seule même région + cache adressé par contenu | Lien privé cloud ou peering |
| Faible RTT mais pics rares ×10 | Limiter les fetch concurrents ; activer la détection basse vitesse Git | Inspecter les timeouts proxy d'entreprise ou transparents |
| Taux d'échec résolution SPM/CocoaPods > 2 % / semaine | Épingler les versions du miroir d'index avec rollback | File staging dédiée aux expériences de résolution |
| Zone conformité interdit Internet sortant sur les builders | Miroir complet in-zone + voie de promotion humaine | « Timeout seul » n'est pas une correction valide |
4. Résidence conformité × routage des runners
La conformité borne en général sorties de build, journaux et clés — pas le fait que chaque développeur VPN vers l'UE. Traduisez la politique en règles de files : liez labels de région, miroirs et buckets d'artefacts pour que les jobs ne dérivent pas.
| Objectif conformité | Où vivent miroirs / artefacts | Notes routage runner |
|---|---|---|
| Build et signature doivent rester en UE | Miroirs lecture seule UE + buckets objet UE | Files region=eu et notary=eu excluent les runners hors UE |
| Le code ne doit pas persister sur un sol non approuvé | Git et KMS entreprise restent au siège ; la CI utilise des jetons à courte durée | Espaces de travail éphémères + effacement post-build |
| La R&D APAC peut utiliser des composants publics | Caches APAC : coordonnées publiques et archives nettoyées uniquement | Ne jamais synchroniser les paquets internes sensibles clients vers les caches APAC |
5. Runbook de déploiement en sept étapes
- Découpez les journaux de pipeline en phases — fetch Git, résolution SPM,
pod install, archive, tests, upload — et estimez la part P95 de chaque phase dans le temps mural. - Pour chaque chemin dorsal, mesurez RTT runner→registre privé/Git/stockage objet et durée poignée TLS ; éliminez le double TLS derrière proxy d'entreprise.
- Appliquez la matrice §2 : miroirs CI lecture seule colocalisés avec les runners ; gardez les points d'entrée SSO développeurs où les humains en ont besoin.
- Par région, créez des espaces de cache adressés par contenu, partitionnés par mineur Xcode et toolchain Swift ; interdisez les liens durs inter-buckets.
- Ajoutez labels
region+xcodeet injectez les URL de miroir via config en lecture seule, pas scripts personnels. - Canary : après répliques même région, la P95 de la phase résolution doit baisser ; si seuls les pics s'améliorent, pivoter vers triage DNS/proxy.
- Versionnez basse vitesse et timeouts (§6) dans l'IaC, launchd ou variables GitHub Actions — toute modification passe par revue de PR.
6. Liste de timeouts à copier-coller
Les valeurs par défaut supposent des liens sains ; augmentez avec prudence. Si les jobs plafonnent encore, revenez au §3 et changez la topologie — pas seulement les timeouts.
Git (HTTP/S)
export GIT_HTTP_LOW_SPEED_LIMIT=1000 export GIT_HTTP_LOW_SPEED_TIME=600 # Clones massifs : git -c http.postBuffer=524288000 clone ...
curl (sondes / health checks)
curl -fsSL --connect-timeout 10 --max-time 120 "$URL"
CocoaPods (CDN ou git de specs interne)
# CocoaPods s'appuie sur Git/curl — alignez d'abord GIT_* et les timeouts proxy pod install --verbose # Dépôts git de specs : git config http.lowSpeedLimit / lowSpeedTime
SwiftPM / résolution Xcode
# Enveloppez xcodebuild -resolvePackageDependencies avec timeout/gtimeout en CI # Registre auto-hébergé : DNS, chaîne de certificats et MTU alignés sur le runner
npm/yarn (outillage web hybride)
npm config set fetch-timeout 300000 npm config set fetch-retries 5
7. Seuils et lignes de coût réutilisables
- 35 % : lorsque résolution/fetch dépasse cette part du temps mural d'un job, évaluez la colocalisation runner–miroir avant d'acheter des cœurs de compilation.
- 80 ms P95 : un RTT runner→registre privé durablement au-dessus de cette bande indique souvent un trajet transocéanique — prévoyez des répliques lecture seule régionales.
- 2 % / semaine : au-delà pour les échecs de résolution de dépendances, épinglez les miroirs d'index et vérifiez les proxies à double déchiffrement.
- Ligne de coût : sortie inter-régions ($/Go) × hits CI quotidiens rivalise souvent avec le stockage lecture seule par région — laissez la facture trancher, pas l'intuition.
8. Opérationnaliser sur du matériel type Mac mini
Le schéma « cache régional + labels de files » coûte moins cher à déployer sur macOS : AFP/SMB, NFS et montages stockage objet natifs, sans matrice de pilotes pour des builders conteneurisés génériques. Le Mac mini Apple Silicon offre une large bande passante mémoire unifiée et une consommation au repos d'environ 4 W — idéal pour des nœuds périphériques de dépendances en lecture seule toujours chauds. macOS garde un faible taux de plantage ; Gatekeeper, SIP et FileVault facilitent les revues sécurité par rapport à une dispersion des identifiants de registre sur des PC génériques.
Quand vous avez besoin d'un même format, même lignée d'image et même récit d'audit dans chaque géographie, les nœuds Mac mini sont le standard pratique des pools de Mac physiques régionaux.
Si vous faites passer la CI iOS/macOS de « ça tourne » à « ça tient des SLO régionaux qu'on peut signer », le Mac mini M4 est une excellente configuration d'entrée — louez ou montez en charge des capacités Mac physiques régionales pour que registres privés et miroirs soient réellement au plus près de vos runners.
9. FAQ
Les binaires type npm/PyPI et les dépôts de specs CocoaPods doivent-ils vivre dans la même région que le runner ?
Pour les dépendances en lecture seule et les index sur le chemin chaud CI, placez par défaut les miroirs dans la même région cloud ou métro que le Mac physique. Les portables des développeurs peuvent toujours joindre les mêmes dépôts logiques via le SSO du bureau, mais évitez de faire traverser les océans aux runners pour un registre primaire unique.
La conformité impose des builds en UE mais les développeurs sont en APAC — où mettre les miroirs ?
Placez runners et miroirs lecture seule dans l'UE. Donnez aux équipes APAC des caches publics ou nettoyés ; gardez source et secrets dans des systèmes gouvernés. Ne répliquez entre juridictions que ce que la politique autorise.
Comment choisir entre réplique régionale et réglage des timeouts ?
P95 stable avec pics rares → baissez la concurrence et réglez Git/curl basse vitesse. P95 durablement élevée où le RTT runner→registre domine les journaux de résolution au-delà d'environ 35 % → ajoutez répliques même région ou liens privés plutôt que des timeouts infinis.
Comment les labels de runner doivent-ils exprimer la localité des dépendances ?
Utilisez région + tags de capacité — par ex. region=us-west, registry-mirror=internal, xcode-16.2 — et routez les files pour que les jobs étiquetés n'atterrissent jamais sur un runner dans la mauvaise région.
CI iOS/macOS sur Mac physiques régionaux ?
Colocalisez runners et miroirs privés pour écraser la longue traîne de résolution — montez des pools de build par région à la demande.