Broker-Profil eintragen und Signierschlüssel erzeugen

[trsdn]

Alles Vorbereitende liegt unter docs/release/. Die restlichen Schritte betreffen ein fremdes Repository und einen Schlüssel, der bewusst nicht erzeugt wurde.

Notarisierung läuft ausschliesslich über trsdn/macos-notarization-broker, niemals lokal. Kein xcrun notarytool, kein app-specific password, kein Keychain-Profil. Apple-Credentials existieren auf der Entwicklermaschine bewusst nicht.

Vorbereitet in diesem Repo

• docs/release/broker/apps.json — einfügbarer Profilblock mit repository_id
• docs/release/entitlements/openfreshr.plist — leere Entitlements mit Begründung je Fähigkeit
• docs/release/broker/adapter-openfreshr.py — Build-Adapter
• docs/release/README.md — Ablauf
• Hardened Runtime aktiv, verifiziert: flags=0x10000(runtime), com.openfreshr.app, Team G69Z5BNY97

Zu tun im Broker-Repo

Dessen CONTRIBUTING.md verlangt für Profiländerungen zuerst ein Issue.

• Issue im Broker-Repo eröffnen
• profiles/apps.json um den vorbereiteten Block ergänzen
• profiles/entitlements/openfreshr.plist hinzufügen
• openfreshr-xcode-Adapter in scripts/broker.py ergänzen
• openfreshr in die Allowlist von scripts/request.sh aufnehmen
• openfreshr in die Dispatch-Optionen von .github/workflows/notarize.yml
• Dem Broker Lesezugriff auf dieses (private) Repository geben

Zu tun hier

• EdDSA-Schlüsselpaar über Sparkles generate_keys erzeugen
• Privaten Schlüssel als Broker-Secret hinterlegen — niemals ins Repository
• Öffentlichen Schlüssel als SUPublicEDKey eintragen (ersetzt den Platzhalter)
• Ersten Tag v1.0.0 setzen und ein Release über den Broker anfordern

[trsdn]

Stand: Broker-Issue ist eröffnet: trsdn/macos-notarization-broker#65. Der EdDSA-Schlüssel aus der Liste oben entfällt, weil das Selbst-Update jetzt über AppUpdater läuft (siehe #14). Zusätzlich braucht der Broker profiles/locks/openfreshr-Package.resolved als byte-gleiche Kopie der Package.resolved, und das Repository ist inzwischen öffentlich, der Lesezugriff für den Broker ist damit erledigt.

[trsdn]

Broker-PR ist offen: trsdn/macos-notarization-broker#67 (Profil, Lock, Adapter, Tests). Nach dem Merge dort kann der erste Release über scripts/request.sh openfreshr v1.0.0 angefordert werden.