Границы защиты от подключения до завершения работы

Чётко определите, кому принадлежат доступ, учётные данные и данные на облачном Mac

HireVM предоставляет выделенные физические узлы Apple Silicon и базовые возможности платформы. Пользователь отвечает за учётные записи, приложения, репозитории кода, ключи разработки и рабочие данные. Вместо расплывчатого определения «полное управление» здесь поэтапно указано, кто выполняет действия, что проверять и какие сведения сохранять при возникновении проблем.

Ознакомиться с руководством по безопасному подключению Арендовать облачный Mac
1 заказ соответствует 1 выделенной физической машине
5 узлов для всех действуют одинаковые границы ответственности
5 действий при выходе экспорт, отзыв, удаление, очистка, подтверждение

Обзор границ ответственности

Сначала разделите ответственность платформы и пользователя, затем определяйте конкретные меры контроля

Изоляция физических ресурсов не означает, что права приложений уже настроены корректно. Платформа предоставляет рабочий узел и возможности, связанные с заказом; пользователь решает, кто может войти на машину, какие программы могут запускаться и какие данные могут покидать контролируемую среду.

Зона ответственности HireVM

Физические узлы и границы работы платформы

  • Соответствие заказа и узла Выделенный физический узел Apple Silicon предоставляется в соответствии с выбранной моделью, сроком и регионом.
  • Базовая работа Узел работает стабильно 365 дней в году; доступны разделы заказов, счетов и обращений в поддержку.
  • Изоляция вычислений арендаторов Вычислительные ресурсы одного заказа не используются совместно с другими арендаторами и не разделяются между виртуальными машинами.
  • Помощь при инцидентах платформы Проблемы на стороне платформы выявляются по номеру заказа, узлу, времени возникновения и описанию ошибки.
Зона ответственности пользователя

Учётные записи, приложения и рабочие данные

  • Участники с доступом Создавайте учётные записи с минимальными правами, своевременно удаляйте вышедших участников и проверяйте действующие удалённые входы.
  • Приложения и лицензии Проверяйте условия использования установленного ПО и контролируйте права на запуск скриптов, служб и автоматизированных задач.
  • Код и учётные данные Управляйте токенами репозиториев, сертификатами подписи, API-ключами и ключами CI, включая их ротацию и отзыв.
  • Резервное копирование и выход До окончания срока аренды экспортируйте нужные данные, очистите рабочие каталоги и подтвердите, планируется ли дальнейшее использование.

Изоляция выделенных ресурсов

Каждый заказ размещается на выделенной физической машине без совместного использования вычислительных ресурсов с другими арендаторами

Обе доступные модели HireVM — выделенные физические узлы Apple Silicon, а не виртуальные машины. HireVM M4 оснащён M4, 16GB RAM и 256GB SSD; HireVM Pro — M4 Pro, 64GB RAM и 2TB SSD. Узлы можно заказать в Сингапуре, Токио (Япония), Сеуле (Южная Корея), Гонконге и на западе США.

Сравнить две выделенные модели Посмотреть варианты аренды
A

Уровень заказа

Модель, узел, срок и дополнительные опции фиксируются в одном заказе, чтобы не смешивать границы разных задач.

B

Уровень устройства

Один заказ соответствует одной выделенной физической машине; CPU, память и локальное хранилище не используются как общие ресурсы виртуальных экземпляров.

C

Уровень учётных записей

Даже при выделенном устройстве пользователь должен распределить роли, ограничить права и удалить участников, которым больше не нужен доступ.

D

Уровень данных

Пользователь определяет место хранения, срок сохранения и путь экспорта репозиториев, артефактов сборки, ключей и рабочих данных.

Выделенный вычислительные ресурсы используются текущим заказом
Не виртуальная машина один вычислительный узел не разделяется между виртуальными экземплярами
365 дней узел работает круглый год
Актуальный результат фактическая доступность определяется ответом консоли

Контроль доступа

Четыре действия после первого подключения надёжнее, чем одна общая постоянная учётная запись

Контроль доступа — это постоянный процесс, а не разовая настройка при первом подключении. После изменения состава команды, добавления автоматизации или корректировки удалённых входов повторно проверяйте объём прав.

  1. 01

    Обновите исходные учётные данные

    Сразу после первого подключения и проверки сведений об узле обновите исходные учётные данные. Не копируйте их в командные чаты, общедоступные документы или журналы сборки.

    Первый сеанс завершён
  2. 02

    Распределяйте минимальные права по ролям

    Для разработки, сборки, диагностики и управления счетами используйте только необходимые права. Обычная рабочая учётная запись не должна по умолчанию изменять всю конфигурацию системы.

    Права выдаются под задачу
  3. 03

    Сузьте удалённые входы

    Оставьте только реально используемые графический интерфейс или командную строку, ограничьте исходные сети и список участников, а широкий доступ для временных тестов не сохраняйте надолго.

    Уменьшите поверхность атаки
  4. 04

    Регулярно проверяйте действующих участников

    После ухода участника, завершения проекта или работы внешнего подрядчика отзовите его учётную запись, токены и права автоматизации, а также убедитесь, что активных сеансов не осталось.

    Изменился состав — выполните проверку

Защита учётных данных разработки

Сертификаты, токены и ключи хранятся в контролируемом хранилище, а не в обычном текстовом потоке

Сертификаты подписи, API-ключи, токены репозиториев и ключи CI могут выполнять операции от имени команды. Для них нужны отдельные правила хранения, чтения, ротации и отзыва; выделенный узел не снижает требований к управлению.

Сертификат подписи

Ограничьте список учётных записей с правом чтения и фиксируйте импорт и удаление. После завершения проекта или изменения роли убедитесь, что старые копии не сохранились.

Контролируемый импорт и удаление

API-ключ

Разделяйте ключи по средам и задачам, не встраивайте их в исходный код. Установите чёткие ограничения вызовов и подготовьте проверяемую процедуру ротации.

Разделение по средам

Токен репозитория

Выдавайте доступ только к нужным репозиториям и операциям. Для временных задач используйте токены с коротким сроком действия, после завершения отзывайте их и не переиспользуйте личные постоянные токены.

Минимальная область репозитория

Ключ CI

Считывайте ключ во время выполнения задачи, не допускайте его вывода в результатах сборки. Изолируйте рабочие каталоги параллельных задач и при очистке кэша не копируйте конфиденциальные настройки.

Чтение по необходимости во время выполнения

Четыре места, где хранить данные запрещено

Эти места легко копируются, индексируются или попадают во внешние материалы диагностики.

  • Константы скриптовНе записывайте реальные ключи непосредственно в скрипты развёртывания или сборки.
  • Обычные журналыНе выводите в отладочные журналы токены, содержимое сертификатов или полный заголовок авторизации.
  • Коммиты репозиторияНе добавляйте файлы с учётными данными в историю версий; даже после удаления их следует немедленно заменить.
  • Сообщения для связиНе отправляйте пароли, закрытые ключи или полные платёжные данные в тексте писем и обращений.

Безопасность передачи и сеансов

Графический интерфейс и командную строку можно использовать отдельно, но проверки сеанса должны быть одинаковыми

Удалённое подключение выполняйте с доверенного устройства и из распознаваемой сети. До подключения проверьте узел и цель, во время работы ограничьте раскрытие конфиденциальных данных, а после завершения убедитесь, что сеанс, задачи и временные файлы находятся в ожидаемом состоянии.

Путь 1

Сеанс графического интерфейса

  1. Перед подключениемПроверьте узел, адрес назначения и текущую исходную сеть; не подключайтесь с неконтролируемого общего устройства.
  2. Во время подключенияОткрывайте только приложения, необходимые для текущей задачи, и не допускайте раскрытия учётных данных в записи экрана, трансляции или ошибочных снимках.
  3. При завершенииЗакройте конфиденциальные приложения и файлы и убедитесь, что удалённый сеанс завершён, а не просто закрыто окно клиента.

Командная строка и автоматизация

Ограничьте вход для удалённых команд, используйте учётные данные конкретной задачи и проверьте, что фоновые процессы, очереди сборки и временные разрешения завершились вместе с задачей.

Ознакомиться с руководством по подключениям и командной строке

При обнаружении подозрительного входа

Сначала разорвите подозрительный сеанс и ограничьте вход, затем обновите связанные учётные данные, отзовите токены, зафиксируйте время и исходную сеть и отправьте обращение через консоль.

Войти в консоль и отправить обращение

Журналы и обработка инцидентов

В записи инцидента, пригодной для диагностики, должны быть шесть категорий контекста

Команде поддержки нужны сведения для восстановления временной последовательности, но не конфиденциальные данные, не связанные со сбоем. Перед отправкой обрежьте снимки экрана, вывод команд и фрагменты журналов, оставив только информацию, объясняющую проблему.

01

Номер заказа

Он помогает найти соответствующую запись услуги. Не отправляйте полные платёжные данные.

02

Узел и модель

Укажите регион и модель: HireVM M4 или HireVM Pro.

03

Время возникновения

Укажите часовой пояс, время первого появления и последнего воспроизведения.

04

Исходная сеть

Опишите тип сети и примерный регион; не нужно предоставлять не относящиеся к делу персональные данные.

05

Сообщение об ошибке

Сохраните код ошибки и ключевые подсказки, предварительно скрыв токены, ключи и рабочие данные.

06

История действий

Последовательно перечислите выполненные шаги, результаты и возможность стабильного воспроизведения.

Рекомендуемый порядок резюме обращения

Сначала опишите влияние, затем окружение и в конце шаги воспроизведения. Так команда поддержки сможет сначала оценить масштаб, а затем проверить узел и временную последовательность.

Область влияния → Номер заказа → Узел и модель → Время и часовой пояс → Исходная сеть → Сообщение об ошибке → Выполненные шаги
Создать обращение в поддержку

Процедура выхода из сервиса

До окончания срока аренды последовательно выполните пять проверок выхода

Прекращение продления — это не просто закрытие удалённого окна. Полный выход означает экспортировать нужные данные, отозвать действующий доступ и убедиться, что рабочий каталог и автоматизированные задачи обработаны в соответствии с требованиями команды.

Критерии завершения

Нужные данные проверены и читаются, внешние токены отозваны, учётные записи участников удалены, рабочий каталог очищен, статус продления заказа подтверждён.

  1. 01

    Экспортируйте данные

    Экспортируйте код, артефакты сборки, результаты экспериментов и документацию проекта; проверьте, что файлы читаются в целевом месте.

  2. 02

    Отзовите токены

    Отзовите токены репозиториев, API, CI и других внешних систем, которые всё ещё принимают их, чтобы после выхода с узла они не оставались действительными.

  3. 03

    Удалите учётные записи

    Удалите временные учётные записи участников и внешних подрядчиков и проверьте, не используют ли автоматизированные службы эти идентификаторы.

  4. 04

    Очистите рабочий каталог

    Обработайте кэши, временные файлы, экспортированные копии и локальные учётные данные; убедитесь, что фоновые задачи больше не записывают новые данные.

  5. 05

    Подтвердите статус продления

    Проверьте в консоли период заказа и дальнейшие планы, чтобы не принять «данные экспортированы» за «продление отменено».

Проверка данных Выборочно проверьте полноту и читаемость важных файлов, артефактов и документации проекта
Проверка прав Убедитесь, что старые учётные записи и внешние токены больше не дают доступа к связанным ресурсам
Проверка задач Убедитесь, что очереди сборки, фоновые процессы и триггеры автоматизации остановлены

Следующий шаг

Сначала определите границы ответственности, затем выберите подходящий выделенный облачный Mac для своей нагрузки

Обе модели — выделенные физические машины, не виртуальные; аренда доступна посуточно, понедельно, помесячно или поквартально. Перед заказом проверьте конфигурацию, узел, способ доступа и план выхода из сервиса.

Арендовать облачный Mac Связаться с командой для проверки границ