物理设备
资源不与其他客户切分
芯片、内存和设备内置存储属于所分配的整台 Mac mini。服务形态是独享物理机，不是共享虚拟机，也不以超售比例描述资源。
独享设备安全模型
安全边界从整台设备独享开始
BerryVM 交付的是单一客户在租期内独享的 Mac mini 物理节点，非虚拟机。安全模型围绕设备隔离、访问控制、操作留痕和数据边界展开，并把客户需要完成的配置责任写清楚。
- 设备归属
- 租期内单一客户独享
- 服务形态
- 独享物理机，非虚拟机
- 可用率口径
- 99.9%
SECURITY HANDOFF
安全交付签收台
边界已登记
交付对象
独享 Mac mini 物理节点
- 设备独享
- 租期内单租户
- 访问控制
- 凭据交付后由客户轮换
- 操作留痕
- 订单、工单与必要运维记录
- 数据边界
- 客户数据保留在所分配设备
检查项
04 / 04
责任边界可核对
设备隔离
租期内，一份订单对应一台独享物理节点
BerryVM 不把同一台设备的处理器、内存或本地存储拆分给多个客户。订单完成交付后，所分配设备在租期内由该客户独享；租期结束后，访问关闭并进入终止处理流程。
租户边界
访问范围绑定订单
设备标识、节点和访问资料随订单交付。客户应只向获授权成员开放访问，并在成员职责变化、协作者退出或疑似泄露时立即轮换凭据。
支持边界
支持操作需要明确授权
支持人员不会把持续访问客户环境作为默认条件。确需协助定位时，应通过控制台工单明确问题范围、允许的操作和有效时段，并优先使用脱敏日志。
凭据交接
初始资料用于完成交付，不应成为长期共享凭据
访问资料只提供建立首次安全会话所需的信息。收到资料后，应先核对设备和节点，再更新凭据、限制来源并记录授权成员。
首次连接核对单
HANDOFF / ACCESS
确认
先核对交付对象
比对订单标识、设备配置、所选节点与收到的访问资料。发现不一致时暂停连接，通过控制台提交工单。
轮换
首次会话后更新凭据
不要把初始密码继续用于日常协作。按团队策略设置新的高强度凭据，优先使用密钥认证，并安全保存恢复信息。
收口
缩小访问来源
只开放任务需要的远程服务和来源地址，关闭不用的共享能力，并为自动化 Runner 使用独立、可撤销的授权。
记录
登记责任人与轮换点
记录谁持有访问权限、凭据何时轮换、哪些流水线使用该设备，以及成员变化时由谁负责撤销访问。
先有工单范围，再有必要操作
故障排查默认从设备状态、网络路径和脱敏日志开始。只有在客户明确授权且远程诊断确有必要时，才按工单约定的范围协助处理。
- 不要求在普通邮件中发送访问密码
- 不要求提交未脱敏的项目密钥或完整配置
- 授权结束后应撤销临时访问并轮换相关凭据
立即撤销、轮换、留存证据
若凭据疑似泄露，先停止受影响的自动化任务，撤销相关访问并完成轮换；保留订单标识、节点、发生时间、来源地址和脱敏日志，再提交控制台工单。
提交安全工单
数据生命周期
从开通到终止，每个阶段都有不同的数据动作
客户项目数据主要位于分配的独享物理机。账户、订单、支付状态、支持沟通和必要运行记录则按各自用途处理。完整保留依据与用户权利见隐私政策。
建立订单与设备关联
处理账户联系信息、配置、租期、节点和支付状态，用于确认订单、分配设备并交付访问资料。开通阶段不要求客户提交项目源码或生产数据。
客户控制设备内项目数据
租期内，客户负责所分配设备上的仓库、构建缓存、模型文件、密钥和产物权限。BerryVM 仅为服务运行、安全和支持处理必要记录。
延续设备与订单状态
续租确认后，设备使用期按订单延续。团队仍应按自己的周期轮换凭据、清理过期成员权限，并检查自动化任务使用的密钥。
关闭访问并进入结束处理
租期结束后关闭客户访问，按服务流程处理设备数据。客户应在租期结束前导出所需产物、撤销外部系统令牌，并确认不再依赖设备内唯一副本。
需要核对收集范围、保留依据或删除请求？
查看隐私政策
隐私政策分别说明账户资料、订单记录、支持沟通、必要日志和设备数据的处理边界。
远程访问基线
把可访问面缩到任务真正需要的范围
远程会话的风险通常来自长期凭据、开放来源过宽、闲置服务和无法追溯的共享访问。以下清单适合作为设备交付后的初始化基线。
最小暴露
只启用任务需要的远程服务和端口。开发环境不需要的共享、发现和测试服务应保持关闭，避免为了临时排查留下长期入口。
核对点：服务、端口、监听地址密钥优先
自动化任务和工程成员分别使用可撤销的认证材料。不要多人共用同一组长期密码，也不要把私钥直接写入仓库、构建脚本或工单正文。
核对点：密钥归属、保管、撤销限制来源
按团队出口、受控跳板路径或任务网络限制访问来源。成员跨地区协作时，应先确认来源策略，不要以开放全部地址作为长期解决方案。
核对点：来源范围、例外、到期时间定期审计
定期检查成员、自动化 Runner、远程服务和外部令牌。成员退出项目、流水线停用或设备用途变化时，应立即撤销不再需要的权限。
核对点：成员、任务、令牌、异常记录| 检查对象 | 建议动作 | 触发时机 | 需要保留的记录 |
|---|---|---|---|
| 人员访问 | 核对成员权限并撤销过期访问 | 成员职责变化或离开项目 | 授权人、撤销时间、涉及设备 |
| 自动化凭据 | 轮换密钥并验证流水线恢复 | 周期轮换或疑似泄露 | 密钥标识、轮换时间、验证结果 |
| 远程服务 | 关闭闲置服务并收窄来源范围 | 任务结束或网络策略变化 | 端口、来源规则、变更责任人 |
| 支持授权 | 关闭临时访问并更新相关凭据 | 工单排查结束 | 工单标识、授权范围、关闭结果 |
事件响应
先控制影响面，再恢复服务并留下可复核记录
安全事件处理以事实和时间线为中心。提交问题时不需要发送访问密码；订单标识、节点、发生时间、影响范围、复现步骤和脱敏日志通常更有助于快速判断。
建立可定位的问题记录
提供订单标识、节点、首次发现时间、受影响任务和已采取动作。将密钥、令牌、客户数据与成员身份信息脱敏后再附日志。
核对范围与紧急程度
确认事件是否仍在持续、影响一台设备还是外部依赖，以及是否需要立即撤销凭据、停止流水线或限制网络来源。
优先阻断继续扩散
根据事实关闭受影响入口、撤销相关授权或暂停任务。隔离动作应可回溯，并避免在保留证据前清除关键日志。
处理根因并验证恢复
完成凭据轮换、来源规则修正、依赖更新或配置回退后，使用最小验证任务确认连接、构建和产物路径恢复正常。
把临时修复转成长期控制
整理时间线、根因、影响范围和后续动作，明确需要新增的监测、权限回收、轮换机制或团队操作清单。
按确认事实同步客户
涉及服务侧处理时，通过可追踪的支持路径同步确认结果、处置进度和需要客户配合的动作，避免用未经核实的推测替代结论。
连续性与证据
可用率看长期记录，单次故障看订单时间线
BerryVM 以 99.9% 作为服务可用率目标口径，所有节点全年 365 天正常运行，不设置定期停机安排。统计范围、排除情形、申请时限与适用补偿方式以服务条款为准。
99.9%
服务可用率目标
近 90 天摘要
连续性记录入口
可核对
90 天
摘要观察区间
5 个
在售物理节点地区
365 天
全年正常运行
节点状态记录
按地区与时间核对
订单事件记录
按订单标识关联
支持处理记录
按工单时间线追踪
访问资料更新
按交付动作留痕
如需核对某次运行中故障，请提交订单标识、节点、发生时间、持续时长和影响范围。服务侧记录与客户侧日志应使用同一时区或明确标注时区。