CPU 与 GPU 不共租
构建、模拟器和推理任务在分配给你的物理节点上执行。不把同一台设备的计算资源拆给其他租户，也不依靠虚拟机配额限制你的任务。
整机分配
把安全边界写清楚
一台机器只属于一个租户
租用的是独享物理 Mac mini，不是虚拟机。CPU、GPU、统一内存与磁盘不与其他租户共用；源码、证书与构建产物，由你的团队按自己的规则管理。
先明确资源归属，再配置访问权限，最后安排备份与退出。
资源归属
独享的是整机，不是一份配额
物理隔离解决的是租户之间的资源共用问题。操作系统内的用户、进程、CI 任务和秘密信息，仍需要由团队划分权限。把这两层分开，安全策略才有明确的落点。
内存与磁盘不共用
统一内存与节点磁盘属于当前租期的工作环境。项目目录、DerivedData、钥匙串和 runner 缓存不作为其他租户可访问的共享工作区。
租户间隔离团队内仍做最小授权
独享不等于团队成员应共用管理员凭据。为人工开发和自动构建分开系统用户，限制 runner 能读取的目录，避免把生产秘密交给所有构建任务。
权限按角色划分
数据生命周期
交付前重置，退出前导出
把系统重置、安全擦除和业务备份当作三件事。前两项用于建立租户边界，备份用于保证你的工程与证书能够在下一台机器继续工作。
-
01
交付前
物理节点分配后重置系统，形成新的租用环境。收到连接信息后，先核对实例标识和系统版本，再导入代码与证书；不要直接沿用其他环境中的共享密码。
-
02
租期内
可从控制台发起系统重装。重装会影响本地文件与开发配置，执行前导出需要保留的数据，停止正在运行的构建，并确认团队没有任务依赖这台节点。
-
03
租期结束
结束后的节点进行安全擦除，再进入后续交付流程。请在到期前完成导出，不把到期后的磁盘保留或文件恢复作为备份方案。
访问控制
把入口收窄到真正需要的人
SSH、图形桌面和控制台是不同入口。分别管理凭据，离职、交接或任务结束时分别撤销，不要用一套密码贯穿所有入口。
SSH：使用独立密钥
每位成员和每个自动化任务使用独立密钥。首次连接核对主机指纹，移交后检查授权密钥列表；删除成员权限时同步移除对应公钥。
不要把私钥提交到代码仓库或写进构建日志。
VNC：强密码，少暴露
图形桌面使用不重复的强密码。只跑命令行构建的节点，可关闭公网 VNC；需要图形操作时再按实际连接需求配置访问路径。
密码轮换后，检查仍在使用旧凭据的客户端。
控制台：完成二次验证
控制台账户关系到实例和账单管理。登录与敏感操作按页面要求完成二次验证，保护接收验证信息的邮箱，不转发验证码给其他成员。
使用本人账户处理管理操作，避免共享会话。
CI：区分可信与外部任务
不要让未审查的外部合并请求直接读取签名钥匙串或发布凭据。把测试任务与发布任务分开，发布阶段只向受信任分支开放必要秘密。
runner 标签是调度条件，不应被当作安全授权。
可用率与补偿
用月度口径，核对服务承诺
所有节点全年 365 天正常运行。可用率承诺针对服务可用性，不等同于某个工程的构建成功率，也不代表跨网络访问的每一次连接都能达到相同速度。
支付安全
支付信息与开发环境分开管理
仅支持下列两类支付方式，全部以美元（USD）结算。实际可用网关以后端接口返回为准；付款状态以控制台订单记录为准，不以邮件截图或浏览器提示替代。
Visa / Mastercard / Amex
银行卡支付经 Stripe 处理，MergeMac 不存储卡号。请在订单付款流程内完成操作，不通过邮件或工单发送完整卡号、安全码或支付验证信息。
经 Stripe 处理USDT-TRC20
按订单展示的网络、地址和金额转账，链上到账确认后核对订单状态。排查付款时提供订单标识与交易哈希，不发送钱包私钥或助记词。
核对链上到账
证书与密钥保管
让签名材料有单独的退出路径
源码可以重新拉取，秘密信息不能靠猜测恢复。把谁能导入、哪个任务能解锁、何时撤销写进交接流程，避免节点到期时才发现证书没有可用备份。
-
01
隔离钥匙串
给 CI 签名创建独立钥匙串，只导入当前项目需要的证书与私钥。构建时按需解锁，任务结束后锁定；不要让所有交互式会话都能读取发布材料。
-
02
加密 CI 变量
使用 CI 平台的加密秘密变量存储敏感值，并限制到受保护分支或发布环境。关闭会输出秘密的调试命令，分享日志前检查令牌、路径和环境变量。
-
03
到期前导出
在租期结束或重装前，导出确需保留的签名材料并加密保存到节点外。验证备份可用后，再注销 runner、撤销不再使用的令牌与连接密钥。
安全问题报告
先停止暴露，再把线索发给我们
发现凭据泄露、异常登录或疑似越权时，先撤销相关密钥与令牌，限制受影响入口。保留必要日志，不继续扩大测试范围，不读取或传播其他用户的数据。
实例相关：控制台工单
已有订单的异常优先通过控制台提交。写明实例标识、发生时间与时区、已执行的止损动作，以及可以复现问题的最少步骤。
登录并提交工单账户无法进入：邮件报告
向 support@mergemac.com 发送说明，主题标注“安全报告”。先发送脱敏摘要；证书私钥、验证码、完整连接密码和钱包秘密不要作为附件发送。
邮件联系安全支持我们会按风险与影响范围优先核查安全报告，并通过原工单或邮件跟进处理信息。首次回复不等于问题已经解决；请保留同一报告线程，新增线索直接补充，避免重复报告拆散上下文。
把边界确认好，再开始构建
独享物理节点负责资源隔离；你的权限、备份和证书流程负责工作负载安全。准备好后，按需要的租期下单。