客戶控管存取與工作負載
客戶決定誰能登入節點、使用哪些金鑰、開放哪些服務埠，以及哪些程式碼、憑證、日誌與資料會進入機器。租用期間的軟體設定與工作行為也由客戶負責。
- 為人員與自動化工作分配不同帳戶及金鑰
- 限制管理員權限，避免日常建置持續使用高權限帳戶
- 保留業務資料、建置產物與關鍵設定的獨立副本
獨享節點安全模型
先劃清實體界線，再控管每一次存取
MangoVM 每筆租用都對應一台獨享的 Apple Silicon 實體節點，而非虛擬機器。安全不只是一句「隔離」，而是客戶權限、平台維運與資料中心設施三層責任清楚分工，且可供核對。
租用界線
一筆訂單 = 一台實體節點
客戶存取層
帳戶、金鑰、軟體、工作與業務資料由客戶管理。
平台維運層
節點交付、狀態管理與必要支援遵循授權及最小存取原則。
設施保障層
機房負責供電、網路與實體設施，節點涵蓋新加坡、東京、首爾與香港。
實體資源
不與其他租戶共用運算節點
責任界線
獨享硬體解決資源隔離，正確設定降低存取風險
實體隔離可避免多個租戶共用同一運算節點，但不能取代金鑰管理、帳戶權限、軟體更新與業務資料備份。安全控制需要分別落實於客戶、MangoVM 與機房設施三方。
MangoVM 管理交付與平台控制
平台負責依訂單設定並交付實體節點、顯示節點狀態、管理服務生命週期，並在取得授權且確有必要時處理支援請求。
- 交付前核對機型、記憶體、儲存空間與節點區域
- 維運操作遵循授權、稽核與最小必要存取原則
- 異常操作進入複核流程，不以便利取代控制
機房保障基礎設施
資料中心設施負責供電、網路連線、環境與實體空間保障。節點所在城市代表服務連線位置，不等同於承諾客戶資料永久儲存於該地。
- 設施層與客戶業務帳戶分離
- 節點全年 365 天正常運作
- 實際可訂購狀態以控制台即時回傳為準
存取與憑證
分開管理人員登入、自動化工作與復原權限
長期重複使用的共用金鑰難以稽核，也難以在人員異動時精準撤銷。建議依使用者與用途建立獨立憑證，分別管理互動式登入、CI Runner、部署工作與緊急復原。
一人一帳戶，一個終端一把金鑰
不要讓多人共用同一登入身分。為每位獲授權人員建立獨立帳戶，並為不同終端產生不同金鑰。成員離開專案後，撤銷對應帳戶與金鑰，而不是全面更換後繼續共用。
Runner 僅取得完成工作所需的權限
CI/CD 帳戶應限制可執行範圍、並行工作與可讀取目錄。建置腳本不需要系統管理權限時，不應授予高權限；臨時憑證應在工作結束後清除。
輪替必須包含驗證與回復方案
先加入新金鑰並完成連線測試，再撤銷舊金鑰。發現終端遺失、成員異動或憑證遭異常使用時，應立即撤銷相關存取，並檢查近期登入與工作日誌。
節點生命週期
分別為交付、租用與回收設定檢查點
節點並非交付完成後就脫離控管。租用開始前核對交付條件，租用期間明確界定權限歸屬，結束前完成遷移與憑證撤銷，才能讓生命週期完整閉環。
-
01
輸出：可核對的節點記錄
交付前核對
平台依訂單核對機型、記憶體、儲存空間附加項目與節點區域，並完成基本狀態檢查。客戶收到交付狀態更新後，應先核對節點識別資訊，再使用控制台提供的連線資料。
-
02
界線：客戶工作負載獨立運作
租用期間的權限歸屬
客戶管理作業系統帳戶、專案相依套件、業務資料與工作權限。平台不會將該實體節點的運算資源分配給其他租戶；支援介入必須基於明確請求及必要範圍。
-
03
客戶操作：遷移、驗證、撤銷
結束前遷移
在租用期結束前移出原始碼、建置產物、日誌、專案快取及其他需要保留的資料，撤銷外部系統對節點的信任，並從流程中移除相關 Runner 與部署目標。
-
04
依據：有效服務條款
回收後處理
節點回收後，依有效服務條款進行資料處理與重新交付準備。客戶不應將回收流程視為唯一備份機制，也不應在租用期結束後繼續依賴節點中的任何副本。
加密傳輸
查看 SSH 連線步驟
連線前先確認目標，連線後再縮小暴露面
遠端連線的風險通常不只在於「是否加密」，也在於是否核驗正確主機、是否限制來源，以及是否長期公開不需要的服務。每次首次連線或節點資訊變更後，都應重新核對。
驗證主機身分
首次連線時，交叉核對位址、節點識別資訊與控制台記錄，並確認主機指紋。指紋意外變更時，先停止連線，不要直接略過提示。
啟用加密協定
命令列存取使用 SSH 等加密連線。傳輸建置產物與日誌時，同樣使用經過身分驗證的加密通道，避免以明文傳輸憑證或專案內容。
限制公開服務
只開放工作確實需要的埠，並限制允許的來源範圍。臨時除錯服務使用完畢後立即關閉，不要將開發服務預設繫結至所有網路介面。
保留連線記錄
記錄關鍵存取時間、來源、執行人與變更內容。日誌應便於關聯訂單識別碼與節點區域，但不應寫入私鑰、密碼或完整簽章材料。
平台維運控制
支援介入必須有理由、有範圍、有記錄
MangoVM 將維運存取限制在交付、故障診斷、安全回應與客戶明確請求所必要的範圍內。公開說明控制原則，但不披露可能協助繞過控制的內部實作細節。
先確認請求與對象
需要介入節點時，先確認訂單關聯、節點範圍、操作目的與允許的時間範圍。無法確認對象或授權來源時，不以口頭便利取代必要核驗。
僅存取解決問題所需的範圍
診斷網路狀態不等於讀取專案檔案，核對交付狀態也不等於進入業務帳戶。維運範圍應與問題相符，並在工作完成後終止臨時存取。
保留關鍵操作的關聯記錄
維運記錄應能關聯請求、節點、操作類型與結果，以供後續複核。記錄遵循最小必要原則，不將客戶敏感材料複製到一般工單描述中。
異常操作進入複核流程
範圍擴大、重複失敗、來源異常或與請求不一致的操作應暫停並複核。安全事件處理以先控制影響為優先，再依記錄恢復服務並追查原因。
服務可用率目標
99.9%可用率目標
所有節點全年 365 天正常運作。可用率的適用範圍、計算方式、排除情況、申請資料與賠付標準，以有效服務條款中的相關規則為準。
90 天
每日狀態觀察範圍
四地節點
新加坡、東京、首爾、香港
最近 90 天每日狀態列
每格代表一個日曆日
正常
狀態列用於呈現服務目標的觀察方式，不取代具體訂單與節點記錄。申請服務補償時，應提供訂單識別碼、受影響節點、時間範圍、現象及已執行的排查步驟。
核對適用條件與賠付標準
安全事件回應
先控制影響，再恢復服務，最後釐清原因
安全事件依發現、確認、隔離、恢復與複盤五個階段推進。每個階段都有明確產出，避免事實尚未確認時擴大判斷，也避免恢復後不追蹤根本原因。
-
01
發現
接收客戶報告、平台警示或維運異常記錄後，先保存時間範圍、節點識別資訊、來源與可重現現象。
-
02
確認
核對事件是否確實發生、影響哪些節點與功能，並區分網路、驗證、系統服務、工作程序或安全控制問題。
-
03
隔離
在必要範圍內限制異常存取、暫停相關工作或撤銷可疑憑證，優先防止影響持續擴大。
-
04
恢復
清除已確認原因後恢復必要服務，檢查連線、工作、日誌與資料完整性，並觀察是否再次出現同類現象。
-
05
複盤
整理影響範圍、處置動作、恢復結果與後續改善項目，讓同類問題能更快識別並以更小範圍處理。
提交報告前
提供可直接用於核查的資訊
不要傳送密碼、私鑰或簽章材料。先提供最低必要資訊，支援團隊需要補充材料時會確認安全提交方式。
- 訂單與節點
- 訂單識別碼、節點區域、受影響節點識別資訊
- 時間範圍
- 首次發現時間、最近一次重現時間、使用的時區
- 影響描述
- 無法完成的操作、受影響帳戶或工作範圍
- 已完成的排查
- 網路、驗證、系統服務與工作程序的檢查結果
客戶安全清單
開啟維運與疑難排解指南
將安全措施納入上線、日常運作與離租流程
一次性的強化措施很快就會失效。將以下檢查項目寫入團隊運作手冊，並記錄負責人、觸發條件與驗證結果。
系統更新
更新前驗證 Xcode、SDK、建置腳本與關鍵相依套件的相容性；先備份必要資料，再執行更新與冒煙測試，並準備可執行的回復步驟。
金鑰管理
依人員、終端與自動化用途拆分金鑰；設定輪替與撤銷流程；成員異動、終端遺失或發生異常存取後，立即處理相關憑證。
簽章材料保護
將簽章材料限制在確實需要的帳戶與工作中，不要寫入程式碼儲存庫或一般建置日誌。工作結束後清除臨時副本並檢查存取範圍。
日誌保留
保存關鍵登入、權限變更、建置與部署記錄，統一時區並確保能關聯節點與工作。日誌中不得包含密碼、私鑰或完整敏感材料。
獨立備份
為原始碼、建置產物、設定與關鍵日誌保留節點以外的副本。定期驗證備份是否能讀取與復原，而不是只確認備份工作顯示完成。
離租遷移
提前移出需要保留的資料，驗證目標副本，撤銷節點金鑰、Runner 註冊、Webhook 與部署權限，再確認租用期結束狀態。
需要獨享運算資源，也需要清楚的安全界線
從 MangoVM M4 或 MangoVM M4 Pro 選擇設定。訂單、節點狀態與存取資料統一在控制台管理，所有金額均以美元結算。