共享iOS企业级分发证书给外部开发者是否安全？

Question

5

我目前的情况是：我们拥有一个企业开发者账号，正在与外部开发者合作开发一款应用程序。

目前我们无法访问源代码，因此无法进行构建，但仍需要每周构建可安装在设备上的版本...因此外部开发者需要能够构建ipa文件。

该开发者现在是开发者计划的成员，并拥有自己的开发者证书。但是，只能有一个分发证书。

从安全角度考虑，分享分发证书（和私钥）以及配置文件，以便他们可以构建ipa文件，是否安全/推荐？

是否有其他（更安全）的选择？

附注：我还在考虑使用我们的分发证书重新签名ipa文件，但这仍然使我们处于需要能够构建ipa的情况 - 这只能通过安装了分发证书和配置文件才能实现。

- Andrei Stanescu

你可以做一件事，不要给他们开发者账户的任何访问权限。只需从你的一侧创建所有内容，向他们提供私钥、证书和预配文件，并要求他们提供 ADHOC ipa 文件。 - iphonic

1

它解决了什么问题？他们现在是该程序的“成员”，只能执行非常有限的操作。他们几乎不能在开发者帐户中创建或删除任何内容。 - Andrei Stanescu

2个回答

-1

他们可以负责创建自己的个人资料，您只需发送给他们您的p12密钥（没什么大不了的）。您也可以直接提供给他们分发证书。

说实话，我从未遇到过雇主或承包商不愿意给我他们的证书和p12文件的情况。所以我从来没有想太多！

- jakenberg

我了解，但我们正在与这个团队一起开展第一个项目，而且他们也在另一个国家。我们需要建立信任。现在，我只是想探索这种工作情况下的推荐路径。如果它们太繁琐或创建了过多的开销，最终我可能会把证书发送给他们。 - Andrei Stanescu

1

在大公司中，共享证书是不被允许的，对于小事情来说，我想这应该不是问题。 - Rui Peres

那么，我会让他们通过自己的开发者帐户创建所有的配置文件，然后发送给他们p12密钥。如果他们需要分发证书，我也会直接给他们。然后当他们发送构建时，你们两个都使用相同的密钥，所以你只需创建自己的配置文件，并将它们添加到门户中。 - jakenberg

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Rui Peres · Accepted Answer

你可以让你的外部开发人员使用任何他想要的签名，然后再重新签名IPA并使用它。这样，在开发者的角度来看，源代码是“安全的”，而你可以使用由你的证书签名的IPA。我通常使用这个，但你也可以在命令行中完成...

至于你的Post Scriptum部分，那不是真的...我有与外部机构合作的经验，他们使用自己的证书和配置文件，当我收到他们的IPA时，我只需要重新签名就可以了。