2026 Удалённый Mac CI: Artifactory vs Nexus — прокси npm и PyPI

Тренд 2026 года — artifact-first CI: тот же кластер, что хранит Docker-слои и generic-файлы, выставляет наружу виртуальные репозитории npm и PyPI, чтобы FinOps видел egress по продуктовым линиям, а security — единый аудит «кто запросил какой tarball». Выбирайте менеджер репозиториев только после фиксации границы комплаенса: нужны неизменяемые следы, virtual repo, объединяющий remote и внутренние wheel, и allowlist egress, запрещающий fallback на публичный npm или PyPI, если политика это запрещает.

На удалённом Mac добавьте к списку: идентичность на job (токен или mTLS на workspace), раздельные кеши по умолчанию без общего ~/.npm без квот, и письменное правило по отозванным пакетам и лицензиям, которое прокси применяет до записи на APFS. Если окна обслуживания и ночные сборки пересекаются и SRE не готовы к очистке без коллизий, не наращивайте параллельные воркеры установки, пока не согласованы квоты хранилища и расписание garbage collection на стороне сервера.

Для стека, где важны гибридные lockfile на стороне JS, см. Bun + npm hybrid на удалённом Mac CI.

Оба продукта дают remote и virtual репозитории, negative cache для 404 и политики удержания; для сравнения в поиске «альтернатива / CI» важнее эксплуатационные ручки, чем маркетинговые чеклисты.

Ни один прокси не заменяет дисциплину lockfile: он ускоряет уже одобренный граф, а не угадывает semver согласно настроению security «со вторника».

Для Yarn Berry и зеркал registry рядом с этим слоем см. матрицу Yarn Berry и зеркала.

Репозиторный менеджер держит долгоживущий тёплый слой; job на удалённом Mac всё равно копит локальные кеши в workspace и домашних каталогах. Считайте их сбрасываемыми, но ограниченными: привязывайте к APFS с запасом относительно самого тяжёлого monorepo.

• npm: ${CI_PROJECT_DIR}/.npm-cache через npm_config_cache; на shared-образах не пишите все в один ~/.npm без подпапки на job.
• pnpm / Yarn Berry: PNPM_HOME, pnpm store path или YARN_CACHE_FOLDER под каталог job, чтобы параллельные сборки не блокировали один глобальный store.
• pip / uv: PIP_CACHE_DIR и UV_CACHE_DIR на быстром локальном томе; крупные wheel конкурируют за место с Xcode DerivedData.

Окна очистки на сервере прокси: планируйте garbage collection и compact в низкий трафик для региона, где стоит репозиторий, а не часового пояса разработчиков. На раннере — post-job trim, когда свободное место пересекает линию предупреждения (например 18% свободного на корневом APFS), и жёсткий отказ до install ниже стоп-порога (например 12%), чтобы не получить полузаписанный node_modules на полном диске.

Вставьте блок в шаблон пайплайна и подставьте hostname виртуального репозитория из allowlist security. Секреты — только из vault; в публичных логах оставляйте числовые капы и пути.

# --- Параллелизм (общий пул удалённых Mac; подстройте под класс CPU) ---
export NPM_CONFIG_MAXSOCKETS="${NPM_CONFIG_MAXSOCKETS:-12}"
export UV_HTTP_TIMEOUT="${UV_HTTP_TIMEOUT:-120}"
export PIP_DEFAULT_TIMEOUT="${PIP_DEFAULT_TIMEOUT:-120}"

# --- Подсказка параллелизму npm lifecycle (не путать с ядрами компиляции) ---
export npm_config_jobs="${npm_config_jobs:-4}"

# --- Пороги диска APFS (% свободного; отказ до install) ---
export MAC_CI_DISK_WARN_PCT="${MAC_CI_DISK_WARN_PCT:-18}"
export MAC_CI_DISK_STOP_PCT="${MAC_CI_DISK_STOP_PCT:-12}"
# Пример: разбор `df -g /` и exit 1 если свободно < MAC_CI_DISK_STOP_PCT

# --- Локальные каталоги (изоляция по job) ---
export npm_config_cache="${CI_PROJECT_DIR}/.npm-cache"
export UV_CACHE_DIR="${CI_PROJECT_DIR}/.uv-cache"
export PIP_CACHE_DIR="${CI_PROJECT_DIR}/.pip-cache"

# --- Только виртуальный URL прокси (пример Artifactory npm) ---
export NPM_CONFIG_REGISTRY="https://artifactory.example.com/artifactory/api/npm/npm-virtual/"
# pip/uv: index-url на ваш PyPI-proxy в Nexus или Artifactory

# --- Приёмка lockfile (примеры; выберите стек) ---
# npm: npm ci && git diff --exit-code package-lock.json
# uv: uv sync --frozen && git diff --exit-code uv.lock

На стороне сервера согласуйте таймауты сокета к upstream и лимиты потоков retrieval с UV_HTTP_TIMEOUT и PIP_DEFAULT_TIMEOUT, иначе клиент и прокси будут по-разному «висеть» на деградации публичного реестра.

Шаг 1 — только прокси: проваливайте job, если резолв уходит на hostname вне Artifactory/Nexus (grep lockfile и конфигов на запрещённый registry.npmjs.org / pypi.org, если политика требует).

Шаг 2 — неизменяемость lockfile: после установки git diff --exit-code для package-lock.json, pnpm-lock.yaml, uv.lock, poetry.lock. Frozen-команды (npm ci, uv sync --frozen и т.д.) не должны переписывать граф на чистом раннере.

Шаг 3 — диск и здоровье прокси: проверка процента свободного APFS, curl к health виртуального репозитория с токеном, вывод размера кеша в сводку сборки — чтобы онколл связывал флейки с TTL или расписанием очистки, а не с прикладным кодом.

Можно ли параллельно держать Artifactory и Nexus для npm? Технически да, но CI должен видеть ровно один виртуальный URL на экосистему, иначе ломаются детерминизм кеша и аудит. Второй контур — только на окно миграции с явным dual-write.

Что ломается первым при слишком агрессивном TTL? Либо «невидимые» свежие внутренние пакеты из-за метаданных, либо долгий negative cache на 404 — настраивайте TTL по upstream, не одной глобальной цифрой.

Больше maxsockets всегда ускоряет трансграничный pull? Нет: после комфортного предела для прокси растёт доля TLS и дробных объектов, чаще появляются 429/502. Повышайте только при запасе на стороне репозитория и пула Mac.