macOS コード署名の受け渡しをプロダクトチームと IT/SRE チームで分担する — Account Holder 作業と GitHub Environment Secrets 登録を分ける

Developer ID Application 証明書の発行には Account Holder のロールが必要で、GitHub Environment Secrets の登録には repo の Admin 権限が必要なため、IT/SRE チームとプロダクトチームのどちらか一方では完結しません。受け渡す値を 4 種類に分けて秘匿区分を揃え、秘密鍵が IT/SRE 側の外へ出ない登録経路を優先する案 A と 1Password 共有 Vault を使う案 B の使い分け、証明書と API Key を組織境界で分ける方針、管理台帳の共有を整理します。