ローカルでは通る iOS ビルドが CI の TestFlight アップロードで署名拒否されるとき — match の証明書が静かにズレる原因と運用メモ

# .ipa を展開して埋め込みプロファイルを取り出す
unzip -o MyApp.ipa -d /tmp/ipa_inspect >/dev/null
PROFILE="/tmp/ipa_inspect/Payload/MyApp.app/embedded.mobileprovision"
 
# プロファイルの中身（plist）を読む
security cms -D -i "$PROFILE" > /tmp/profile.plist
 
# プロファイル名・UUID・有効期限・含まれる証明書を確認
/usr/libexec/PlistBuddy -c "Print :Name" /tmp/profile.plist
/usr/libexec/PlistBuddy -c "Print :UUID" /tmp/profile.plist
/usr/libexec/PlistBuddy -c "Print :ExpirationDate" /tmp/profile.plist

# 実際にバイナリを署名している証明書の Common Name と有効期限
codesign -dvvv "/tmp/ipa_inspect/Payload/MyApp.app" 2>&1 | grep -E "Authority|Signed Time"

# fastlane/Fastfile
platform :ios do
  desc "証明書とプロファイルを同期（CIは読み取り専用）"
  lane :sync_signing do
    match(
      type: "appstore",
      app_identifier: [
        "com.yourcompany.yourapp",
        "com.yourcompany.yourapp.widget"
      ],
      readonly: is_ci,          # CI では絶対に新規発行させない
      keychain_name: ENV["MATCH_KEYCHAIN_NAME"],
      keychain_password: ENV["MATCH_KEYCHAIN_PASSWORD"]
    )
  end
end

# ローカルでのみ：新しい証明書/プロファイルを発行して match リポジトリに保存
bundle exec fastlane match appstore
# Extension も忘れずに同期（Bundle ID をすべて列挙）

# fastlane/Fastfile
platform :ios do
  before_all do
    # API キーを一度だけロードして以降の全 lane で共有
    app_store_connect_api_key(
      key_id: ENV["ASC_KEY_ID"],
      issuer_id: ENV["ASC_ISSUER_ID"],
      key_content: ENV["ASC_KEY_CONTENT"],  # .p8 の中身を base64 ではなく素のまま環境変数へ
      is_key_content_base64: false,
      in_house: false
    )
  end
end

# fastlane/actions/verify_signing_action.rb
module Fastlane
  module Actions
    class VerifySigningAction < Action
      def self.run(params)
        ipa = params[:ipa_path]
        expected_ids = params[:app_identifiers]
 
        Dir.mktmpdir do |dir|
          sh("unzip -o #{ipa.shellescape} -d #{dir} >/dev/null")
          app = Dir.glob("#{dir}/Payload/*.app").first
          UI.user_error!("アプリ本体が見つかりません") unless app
 
          profile = "#{app}/embedded.mobileprovision"
          plist = sh("security cms -D -i #{profile.shellescape}")
 
          # 有効期限のチェック
          require "time"
          exp = plist[/<key>ExpirationDate<\/key>\s*<date>(.*?)<\/date>/m, 1]
          if exp && Time.parse(exp) < Time.now + 7 * 24 * 3600
            UI.user_error!("プロファイルの期限が7日以内に切れます: #{exp}。ローカルで match を更新してください")
          end
 
          # Bundle ID のチェック（application-identifier から team prefix を除去して比較）
          app_id = plist[/<key>application-identifier<\/key>\s*<string>(.*?)<\/string>/m, 1]
          bundle = app_id.to_s.sub(/^[A-Z0-9]+\./, "")
          unless expected_ids.include?(bundle)
            UI.user_error!("署名された Bundle ID (#{bundle}) が期待値 #{expected_ids} と一致しません")
          end
 
          UI.success("署名検証 OK: #{bundle} / 期限 #{exp}")
        end
      end
 
      def self.available_options
        [
          FastlaneCore::ConfigItem.new(key: :ipa_path, type: String),
          FastlaneCore::ConfigItem.new(key: :app_identifiers, type: Array)
        ]
      end
 
      def self.is_supported?(platform)
        platform == :ios
      end
    end
  end
end

lane :release do
  sync_signing
  build_app(scheme: "MyApp", export_method: "app-store")
 
  # ★ アップロード前の関所：ここで止まれば既存ビルドを巻き込まずに済む
  verify_signing(
    ipa_path: lane_context[SharedValues::IPA_OUTPUT_PATH],
    app_identifiers: ["com.yourcompany.yourapp", "com.yourcompany.yourapp.widget"]
  )
 
  upload_to_testflight(skip_waiting_for_build_processing: true)
end

# .github/workflows/ios-release.yml
name: iOS Release
on:
  workflow_dispatch:
 
jobs:
  release:
    runs-on: macos-15
    steps:
      - uses: actions/checkout@v4
 
      - name: Create a clean temporary keychain
        env:
          KC_PW: ${{ secrets.MATCH_KEYCHAIN_PASSWORD }}
        run: |
          KC="$RUNNER_TEMP/app-signing.keychain-db"
          security create-keychain -p "$KC_PW" "$KC"
          security set-keychain-settings -lut 21600 "$KC"
          security unlock-keychain -p "$KC_PW" "$KC"
          security list-keychains -d user -s "$KC" login.keychain-db
          echo "MATCH_KEYCHAIN_NAME=$KC" >> "$GITHUB_ENV"
 
      - uses: ruby/setup-ruby@v1
        with:
          bundler-cache: true
 
      - name: Build and upload
        env:
          ASC_KEY_ID: ${{ secrets.ASC_KEY_ID }}
          ASC_ISSUER_ID: ${{ secrets.ASC_ISSUER_ID }}
          ASC_KEY_CONTENT: ${{ secrets.ASC_KEY_CONTENT }}
          MATCH_PASSWORD: ${{ secrets.MATCH_PASSWORD }}
          MATCH_KEYCHAIN_PASSWORD: ${{ secrets.MATCH_KEYCHAIN_PASSWORD }}
          MATCH_GIT_BASIC_AUTHORIZATION: ${{ secrets.MATCH_GIT_TOKEN }}
        run: bundle exec fastlane ios release
 
      - name: Always destroy the keychain
        if: always()
        run: security delete-keychain "$RUNNER_TEMP/app-signing.keychain-db" || true