實體設備
資源不與其他客戶切分
晶片、記憶體與設備內建儲存空間屬於所分配的整台 Mac mini。服務形式為獨享實體機，不是共享虛擬機，也不以超額配置比例描述資源。
獨享設備安全模型
安全邊界從整台設備獨享開始
BerryVM 提供租期內由單一客戶獨享的 Mac mini 實體節點，而非虛擬機。安全模型涵蓋設備隔離、存取控制、操作留痕與資料邊界，並清楚列明客戶需完成的設定責任。
- 設備歸屬
- 租期內由單一客戶獨享
- 服務形式
- 獨享實體機，非虛擬機
- 可用率標準
- 99.9%
SECURITY HANDOFF
安全交付簽收台
邊界已登記
交付對象
獨享 Mac mini 實體節點
- 設備獨享
- 租期內單一租戶
- 存取控制
- 憑證交付後由客戶輪換
- 操作留痕
- 訂單、工單與必要的維運記錄
- 資料邊界
- 客戶資料保留於所分配的設備
檢查項目
04 / 04
責任邊界可核對
設備隔離
租期內，一份訂單對應一台獨享實體節點
BerryVM 不會將同一台設備的處理器、記憶體或本機儲存空間拆分給多位客戶。訂單完成交付後，所分配的設備在租期內由該客戶獨享；租期結束後，存取權限將關閉並進入終止處理流程。
租戶邊界
存取範圍繫結訂單
設備識別資訊、節點與存取資料會隨訂單交付。客戶僅應向獲授權成員開放存取，並在成員職責變更、協作者退出或疑似洩漏時立即輪換憑證。
支援邊界
支援操作需取得明確授權
支援人員不會將持續存取客戶環境視為預設條件。如確需協助定位問題，應透過控制台工單明確說明問題範圍、允許的操作與有效時段，並優先使用去識別化記錄。
憑證交接
初始資料用於完成交付，不應成為長期共用憑證
存取資料僅提供建立首次安全連線所需的資訊。收到資料後，應先核對設備與節點，再更新憑證、限制來源並記錄獲授權成員。
首次連線檢查清單
HANDOFF / ACCESS
確認
先核對交付對象
比對訂單識別碼、設備配置、所選節點與收到的存取資料。若發現不一致，請暫停連線並透過控制台提交工單。
輪換
首次工作階段後更新憑證
不要繼續將初始密碼用於日常協作。依團隊策略設定新的高強度憑證，優先使用金鑰驗證，並安全保存復原資訊。
收斂
縮小存取來源
僅開放工作所需的遠端服務與來源位址，關閉不使用的共用功能，並為自動化 Runner 使用獨立且可撤銷的授權。
記錄
登記負責人與輪換節點
記錄誰持有存取權限、憑證何時輪換、哪些工作流程使用該設備，以及成員變更時由誰負責撤銷存取權限。
先確認工單範圍，再執行必要操作
故障排查預設從設備狀態、網路路徑與去識別化記錄開始。只有在客戶明確授權且確有遠端診斷必要時，才會依工單約定範圍協助處理。
- 不要求透過一般電子郵件傳送存取密碼
- 不要求提交未去識別化的專案金鑰或完整設定
- 授權結束後應撤銷臨時存取權並輪換相關憑證
立即撤銷、輪換並保留證據
若憑證疑似洩漏，請先停止受影響的自動化工作，撤銷相關存取權並完成輪換；保留訂單識別碼、節點、發生時間、來源位址與去識別化記錄，再提交控制台工單。
提交安全工單
資料生命週期
從啟用到終止，每個階段都有不同的資料處理
客戶專案資料主要位於所分配的獨享實體機。帳戶、訂單、付款狀態、支援溝通與必要的執行記錄則依各自用途處理。完整的保留依據與使用者權利請參閱隱私權政策。
建立訂單與設備關聯
處理帳戶聯絡資訊、設定、租期、節點與付款狀態，用於確認訂單、分配設備並交付存取資料。啟用階段不要求客戶提交專案原始碼或正式環境資料。
客戶控制設備內的專案資料
租期內，客戶負責所分配設備上的儲存庫、建置快取、模型檔案、金鑰與產物權限。BerryVM 僅為服務執行、安全與支援處理必要記錄。
延續設備與訂單狀態
確認續租後，設備使用期間將依訂單延續。團隊仍應依自身週期輪換憑證、清理過期成員權限，並檢查自動化工作使用的金鑰。
關閉存取並進入結束處理
租期結束後將關閉客戶存取權，並依服務流程處理設備資料。客戶應在租期結束前匯出所需產物、撤銷外部系統權杖，並確認不再依賴設備內的唯一副本。
需要核對收集範圍、保留依據或刪除請求？
查看隱私權政策
隱私權政策分別說明帳戶資料、訂單記錄、支援溝通、必要記錄與設備資料的處理邊界。
遠端存取基準
將可存取面縮減至工作真正需要的範圍
遠端工作階段的風險通常來自長期憑證、過寬的來源開放範圍、閒置服務與無法追溯的共用存取。以下清單適合作為設備交付後的初始化基準。
最小暴露
僅啟用工作所需的遠端服務與連接埠。開發環境不需要的共用、探索與測試服務應維持關閉，避免因臨時排查留下長期入口。
檢查點：服務、連接埠、監聽位址金鑰優先
自動化工作與工程成員應分別使用可撤銷的驗證資料。不要多人共用同一組長期密碼，也不要將私密金鑰直接寫入儲存庫、建置腳本或工單內文。
檢查點：金鑰歸屬、保管、撤銷限制來源
依團隊出口、受控跳板路徑或工作網路限制存取來源。成員跨地區協作時，應先確認來源策略，不要以開放所有位址作為長期解決方案。
檢查點：來源範圍、例外、到期時間定期稽核
定期檢查成員、自動化 Runner、遠端服務與外部權杖。成員退出專案、工作流程停用或設備用途變更時，應立即撤銷不再需要的權限。
檢查點：成員、工作、權杖、異常記錄| 檢查對象 | 建議動作 | 觸發時機 | 需保留的記錄 |
|---|---|---|---|
| 人員存取 | 核對成員權限並撤銷過期存取權 | 成員職責變更或離開專案 | 授權人、撤銷時間、相關設備 |
| 自動化憑證 | 輪換金鑰並驗證工作流程復原 | 定期輪換或疑似洩漏 | 金鑰識別碼、輪換時間、驗證結果 |
| 遠端服務 | 關閉閒置服務並縮小來源範圍 | 工作結束或網路策略變更 | 連接埠、來源規則、變更負責人 |
| 支援授權 | 關閉臨時存取並更新相關憑證 | 工單排查結束 | 工單識別碼、授權範圍、關閉結果 |
事件回應
先控制影響範圍，再復原服務並留下可核對記錄
安全事件處理以事實與時間線為核心。提交問題時不需要傳送存取密碼；訂單識別碼、節點、發生時間、影響範圍、重現步驟與去識別化記錄通常更有助於快速判斷。
建立可定位的問題記錄
提供訂單識別碼、節點、首次發現時間、受影響工作與已採取的措施。將金鑰、權杖、客戶資料與成員身分資訊去識別化後，再附上記錄。
核對範圍與緊急程度
確認事件是否仍在持續、影響一台設備還是外部依賴，以及是否需要立即撤銷憑證、停止工作流程或限制網路來源。
優先阻止持續擴散
根據事實關閉受影響入口、撤銷相關授權或暫停工作。隔離措施應可追溯，並在保留證據前避免清除關鍵記錄。
處理根因並驗證復原
完成憑證輪換、來源規則修正、相依項更新或設定回復後，使用最小驗證工作確認連線、建置與產物路徑恢復正常。
將臨時修復轉化為長期控制
整理時間線、根因、影響範圍與後續措施，明確列出需要新增的監控、權限回收、輪換機制或團隊操作清單。
依已確認的事實同步客戶
涉及服務端處理時，透過可追蹤的支援管道同步確認結果、處理進度與需要客戶配合的動作，避免以未經核實的推測取代結論。
持續性與證據
可用率反映長期記錄，單次故障則查看訂單時間線
BerryVM 以 99.9% 作為服務可用率目標，所有節點全年 365 天正常運行，不安排定期停機。統計範圍、排除情形、申請期限與適用的補償方式以服務條款為準。
99.9%
服務可用率目標
近 90 天摘要
持續性記錄入口
可核對
90 天
摘要觀察期間
5 個
在售實體節點地區
365 天
全年正常運行
節點狀態記錄
依地區與時間核對
訂單事件記錄
依訂單識別碼關聯
支援處理記錄
依工單時間線追蹤
存取資料更新
依交付動作留痕
如需核對某次運行中的故障，請提交訂單識別碼、節點、發生時間、持續時間與影響範圍。服務端記錄與客戶端記錄應使用相同時區，或明確標示時區。