Packaging-Wissen
CI/CD fürs Packaging ohne Installer-Upload
Metadaten-Jobs, API-Keys und Audit: wie sich Paketierung an eine Pipeline anbinden lässt, ohne Quellen auszulagern.
Was die API tut und was nicht
Eine Packaging-API automatisiert den Lauf, nicht die Entscheidung. Sie erzeugt Pakete oder Metadaten, sie prüft keine stillen Parameter für dich und sie ersetzt keinen Test unter Windows.
Wer das erwartet, baut eine Pipeline, die schneller falsche Pakete produziert.
Metadata-only Jobs
Der interessante Teil für regulierte Umgebungen: Jobs, die nur Metadaten erzeugen, ohne Herstellerdateien zu speichern. Die Quellen bleiben lokal, die Pipeline bekommt das Ergebnis und den Prüfstatus. Das ist der Unterschied zwischen Automatisierung und Auslagerung.
Laut Dokumentation sind Enterprise-API-Keys workspace-gebunden, gehasht gespeichert und auf definierte Scopes begrenzt.
Keys und Scopes
Ein Key gehört zu einem Workspace, nicht zu einer Person. Er hat die Rechte, die er für seinen Job braucht — nicht mehr. Ein Key, der alles darf, ist ein Betriebsrisiko, sobald er in einer Pipeline liegt.
Audit-Ereignisse
Eine Pipeline ohne Audit ist eine Blackbox. Wer welchen Job wann gestartet hat, welches Paket entstanden ist und welcher Schritt fehlschlug, gehört protokolliert. Sonst ist der Fehler nach dem nächsten Lauf nicht mehr rekonstruierbar.
Typische Pipeline
Quelle prüfen, Metadaten erzeugen, Paket bauen, Prüfpunkte markieren, Ergebnis ablegen. Der Test unter Windows bleibt ein eigener Schritt — automatisiert oder manuell, aber sichtbar.
---