私も(3)にしてます。お客様のEnterpriseアカウントで複数アプリ・複数ベンダーとなったときに個々のアプリの都合で証明書いじられると困りそうなので、証明書管理はお客様にがんばってもらうようにしています(支援はしますが)。更新時の新しいSwift, Xcodeについては、本当に期限の延長だけで改修がないなら、前の納品に署名だけ(+あとビルド番号とか)つけかえて出すというのができます(基本的にはfastlane sigh resignとかなんですが、罠はあるので注意が必要、、、)。