MiniRent предоставляет выделенные физические узлы с облачными Mac, не разделяя ресурсы виртуальных машин с другими арендаторами. Здесь объясняется, кто управляет платформой, учетными записями устройств, SSH-подключениями, материалами сборки и сторонними инструментами разработки, а также что делать при сбоях.
Выделенное физическое устройство устраняет конкуренцию арендаторов за ресурсы общей виртуальной машины, но не заменяет управление правами учетных записей, ротацию ключей или очистку материалов сборки. Модель безопасности должна одновременно охватывать платформу, команду арендатора и используемые инструменты.
Отвечает за распределение физических узлов, доступ к консоли, передачу данных для подключения, ведение записей о заказах и состоянии устройств, а также обработку подтвержденных сервисных инцидентов.
Отвечает за учетные записи на устройстве, SSH-ключи, токены репозиториев, материалы подписи, переменные окружения, права участников и очистку данных до окончания аренды.
Xcode, fastlane, менеджеры зависимостей и Runner конвейера хранят собственные настройки, кэш и журналы. Команда должна настраивать версии, права и правила очистки с учетом возможностей каждого инструмента.
Первое подключение — это не просто ввод адреса и продолжение. Сначала получите данные для подключения из консоли, проверьте отпечаток хоста, затем установите сеанс с помощью зарегистрированного SSH-ключа. Не пересылайте закрытый ключ через историю чатов, общедоступную документацию или файлы репозитория.
Создавайте ключи отдельно для каждого сотрудника или автоматизированной задачи; не используйте один закрытый ключ совместно.
При первом подключении или изменении точки входа сравните отображаемый локально отпечаток хоста с записью в консоли.
Для повседневных сборок используйте обычную учетную запись и временно повышайте права только при установке компонентов или изменении системных настроек.
Наиболее распространенный риск автоматизированной сборки — не совместное использование ресурсов устройства, а попадание долгоживущих токенов в скрипты, журналы или кэш. Рекомендуется одновременно проектировать права доступа, срок действия, место внедрения и очистку конфиденциальных материалов.
| Материал | Граница доступа | Рекомендуемый способ внедрения | Действие после завершения задачи |
|---|---|---|---|
| Токен репозитория кода | Ограничьте репозиториями и необходимыми операциями, предпочтительно только чтением | Передавайте через управляемые переменные окружения или ключи конвейера | Отзовите краткосрочный токен, проверьте рабочую область и удаленные адреса |
| Сертификат подписи и закрытый ключ | Разрешите чтение только учетной записи задачи подписи | Импортируйте в управляемую связку ключей в начале сборки | Удалите временную связку ключей и файлы импорта |
| Профиль подготовки | Ограничьте целевым приложением и назначением сборки | Скопируйте управляемым заданием во временный каталог | Удалите временную копию и проверьте содержимое архива |
| Переменные окружения | Разделяйте по проектам и окружениям, не используйте повторно в разных задачах | Записывайте в окружение процесса во время выполнения конвейера | Завершите процесс, удалите временные настройки и остатки истории shell |
| Артефакты сборки и журналы | Доступны только участникам проекта и процессу передачи результатов | Выводите в отдельный каталог задачи | Перенесите необходимые артефакты, остальные файлы удалите согласно правилам хранения |
Если сборке нужно только получить код, не выдавайте права на запись в репозиторий или управление участниками; материалы подписи одного проекта не должны быть доступны задачам других проектов.
Учетные данные, которые можно выдавать для конкретной задачи, не следует хранить постоянно. Фиксированные учетные данные необходимо размещать в управляемом хранилище секретов и задавать четкие условия их ротации.
Одновременно проверьте временные каталоги, связки ключей, файлы окружения, историю shell, настройки зависимостей, журналы сборки и каталоги артефактов — недостаточно удалить только исходный код.
Обе доступные конфигурации MiniRent можно заказать в Сингапуре, Японии (Токио), Южной Корее (Сеул), Гонконге и на востоке США. Выбирайте узел ближе к основной команде разработки или репозиторию; фактическая доступность определяется в реальном времени по данным консоли.
Подходит командам из Юго-Восточной Азии и региональным точкам входа конвейеров.
Подходит для задач разработки и сборки в Японии и Восточной Азии.
Подходит командам из Южной Кореи и региональным средам совместной работы.
Подходит для межрегиональной работы команд из Южного Китая и Юго-Восточной Азии.
Подходит для рабочих процессов на востоке Северной Америки и через Атлантику.
Используется для заказов, состояния устройства, данных подключения и обращений в поддержку. Административные операции не следует использовать как канал передачи данных для скриптов сборки.
Сеансы SSH и VNC напрямую обеспечивают работу с устройством. Команде следует ограничить сети-источники, проверять данные подключения и завершать сеанс после работы с устройством.
При необходимости смены узла создайте обращение через консоль. До переноса создайте резервную копию необходимых артефактов, отзовите временные учетные данные и проверьте отпечаток хоста новой точки входа.
Проверьте идентификатор устройства, узел, часовой пояс и временной диапазон инцидента.
Проверьте недавно добавленные ключи, учетные записи устройства, регистрации Runner и изменения прав.
Отзовите подозрительные ключи и токены, приостановите соответствующие автоматизированные задачи и сохраните обезличенные журналы.
Передайте воспроизводимую информацию через обращение в консоли или по адресу support@minirents.com.
Все узлы предоставляются в режиме непрерывной работы. Сервисные события оцениваются по совокупности записей консоли, состояния узла и подтверждения поддержки.
При сообщении о проблеме безопасности наиболее ценны идентификатор устройства, узел, временной диапазон, шаги воспроизведения, масштаб воздействия и обезличенные журналы. Полные ключи, пароли и токены доступа не помогут расследованию, а лишь увеличат риск.
Зафиксируйте признаки инцидента, идентификатор устройства, узел, часовой пояс, время первого появления и последнюю штатную операцию. Разделяйте сбои подключения, изменения прав, подозрительные процессы и раскрытие материалов сборки.
Отзовите связанные SSH-ключи, токены репозиториев и ключи конвейера, остановите подозрительный Runner или задачу. Не перезаписывайте журналы массово, пока не зафиксированы ключевые сведения.
Сохраните время выполнения команд, коды ошибок, сведения о процессах и необходимый контекст; скройте пароли, закрытые ключи, полные токены, материалы подписи и командные строки с конфиденциальными параметрами.
Войдите в консоль и создайте обращение или отправьте письмо на support@minirents.com. Укажите в теме «Отчет о безопасности», а в тексте — масштаб воздействия, шаги воспроизведения и уже принятые меры ограничения.
Замените затронутые учетные данные, проверьте права участников и настройки автоматизации, затем выполните минимальную тестовую задачу для проверки подключения, зависимостей, подписи и вывода артефактов. Возобновляйте полную параллельность только после подтверждения отсутствия аномалий.
Список подходит для индивидуальной разработки, командных ферм сборки и Runner под собственным управлением. Рекомендуется закрепить каждый пункт за ответственным и автоматизировать его, а не оставлять только во внутренней документации.
Получите данные подключения из консоли, проверьте узел, идентификатор устройства и отпечаток хоста.
Включите усиленную аутентификацию для рабочей почты, репозитория кода и системы конвейеров и защитите данные восстановления.
Каждый участник и каждая автоматизированная задача должны использовать отдельную идентичность, чтобы исключить неотслеживаемые общие ключи.
Фиксируйте версии и оценивайте обновления, отдавая приоритет исправлениям безопасности инструментов сборки, менеджеров зависимостей и Runner.
Не допускайте переполнения диска кэшем сборки и проверяйте журналы на случайного попадания переменных окружения или токенов доступа.
Удалите код, ключи, токены, материалы подписи, временные связки ключей, артефакты сборки и больше не нужный кэш.
Обе конфигурации физических Mac поддерживают пять доступных узлов. После заказа получите в консоли состояние устройства и данные подключения; вопросы по уже арендованному устройству можно отправить через обращение.