2026 Remote-Mac-CI: Conda, mamba & micromamba — Spiegel, Parallelität, Lockfile & YAML-Abnahme

Oft dominieren HTTP zu Spiegeln, Solver-Differenzen Laptop↔CI und gemeinsames pkgs ohne Isolation. Klassifizieren Sie: Spiegel, Parallelität oder Lock-Drift.

Gleiche Semantik, unterschiedliche Betriebskosten:

Leiten Sie repodata- und Paket-HTTP auf niedrig-RTT-Spiegel um, dokumentieren Sie die exakte URL-Reihenfolge im Repository — nicht nur „irgendein Mirror“. channel_alias kann Anaconda-URLs auf Ihre Organisation umbiegen; kombinieren Sie das mit channel_priority strict, damit der Solver nicht still zwischen Indizes wechselt.

# ci/.condarc — Platzhalter durch firmennahen Spiegel ersetzen
channels:
  - conda-forge
channel_priority: strict
channel_alias: https://mirror.internal.example/anaconda/cloud
# optional: default_channels überschreiben, falls Policy es verlangt

Pro Job:

export CONDARC="$PWD/ci/.condarc"
export CONDA_NOTICES=false

libmamba-basierte Frontends erlauben feinere Steuerung der Download-Parallelität als klassische Defaults. Auf geteilten Remote-Macs: konservativ starten, p95 der Wandzeit messen, dann erhöhen. Vermeiden Sie dasselbe pkgs-Verzeichnis für parallele Pipelines ohne Dateisperren.

export MAMBA_ROOT_PREFIX="$CI_PROJECT_DIR/.mamba-root"
export CONDA_PKGS_DIRS="$CI_PROJECT_DIR/.conda-pkgs"
export MAMBA_DOWNLOAD_THREADS=4          # bei gemeinsamem WAN-Ausgang eher 2–3
# conda mit libmamba (Beispiel):
# export CONDA_SOLVER=libmamba

Beispiel micromamba:

micromamba create -y -p ./.venv -f environment.yml
micromamba install -y -p ./.venv numpy=1.26 --channel conda-forge

Umschließen Sie Install-Schritte mit einer begrenzten Retry-Leiter (z. B. 2/4/8 s) für 5xx und Timeout; bei 401/403 abbrechen — Token-Problem. Hinter TLS-Inspection setzen Sie SSL_CERT_FILE auf die Organisations-CA; HTTPS_PROXY/NO_PROXY für explizite Ausgangsregeln.

export SSL_CERT_FILE=/etc/ssl/certs/org-root.pem
export HTTPS_PROXY=http://proxy.internal:8080
export NO_PROXY=127.0.0.1,localhost,.internal.example
# Pseudocode-Schleife: bei Exit !=0 und retrybar — sleep mit Backoff, max 3 Versuche

Behandeln Sie environment.yml als deklarierte Quelle; conda-lock erzeugt reproduzierbare, plattformspezifische Locks. CI soll conda env export --no-builds nur als Sanity-Check nutzen — nicht als autoritative Spezifikation.

conda-lock lock -f environment.yml -p osx-arm64 --filename-template "conda-{platform}.lock"
# Abnahme: Lock-Datei diffen, keine ad-hoc conda install-Schritte ohne Ticket

Kurz-Checkliste vor Merge

• Lock-Datei enthält erwartete Plattform-Hashes; kein gemischter Solver zwischen lokalem Rechner und CI.
• environment.yml-Pins decken sich mit dem gelösten Graphen; keine zusätzlichen Kanäle außerhalb der Policy.
• Post-Install-Skripte dokumentiert — sie ändern den effektiven Zustand neben dem Lock.

1. Platten-Probe: df -g auf dem Cache-Volume — frei < ca. 20 GiB oder Belegung über 87 % → Job mit klarer Meldung beenden.
2. CONDARC-Hash: Pipeline bricht ab, wenn sich ci/.condarc ohne Review-PR ändert — verhindert stille Spiegel-Umstellungen.
3. Lock-Pflicht: conda-lock-Artefakte müssen zum environment.yml passen; Diff gegen Main zeigt unerwartete Paketänderungen.
4. Smoke-Solve: Trockenlauf micromamba create --dry-run oder conda create --dry-run mit Timeout, damit repodata-Deadlocks früh sichtbar werden.
5. Cleanup: Arbeitsverzeichnis und optionale conda clean --all nur nach Policy, damit Nachbar-Jobs nicht unter I/O leiden.

Parallele Container-Pulls auf demselben Host: siehe GHCR-/Registry-Pull-Matrix — abstimmen, ob OCI-Layer und Conda-pkgs dieselbe SSD teilen sollen.

Unterschiedliche Paket-Builds zwischen Büro und CI. Gleiche channels, channel_priority und Solver-Backend erzwingen; Abweichungen meist aus veraltetem repodata-Cache — Caches pro Job leeren oder Lockfile als einzige Wahrheit.

Langsame erste Installation trotz „schnellem“ Spiegel. Oft dominiert TLS-Handshake oder Proxy-Auth; messen Sie mit curl -w '%{time_connect} %{time_starttransfer}' gegen repodata.json statt nur Paket-Tarballs.

Ist conda env export genug für Compliance? Nein für Reproduzierbarkeit — ergänzen Sie conda-lock und revisionieren Sie die Lock-Datei; Export dient höchstens als Plausibilitätscheck.

Im Remote-Mac-CI 2026 werden Conda-Stacks zuverlässig, wenn Spiegel-Endpunkte im Code liegen, Download-Parallelität zur WAN-Realität passt, Retries begrenzt sind und conda-lock gegenüber environment.yml die Abnahme bestimmt — statt nachträglicher conda install-Experimente auf dem Runner.