Рабочая памятка по безопасному подключению

Подключите облачный Mac к терминалу разработки, графическому рабочему столу и очереди CI

ZoneMini предоставляет выделенные физические машины, а не виртуальные. Используйте SSH для команд сборки, общий экран macOS для задач с графическим интерфейсом или зарегистрируйте выделенный узел как CI Runner. Сначала проверьте данные подключения, затем выберите способ доступа и не раскрывайте учётные данные в переписке или логах конвейера.

Арендовать облачный Mac Открыть справочный центр
3 способа доступа
Командная строка, графический интерфейс, автоматизированный Runner
5 узлов
Сингапур, Япония (Токио), Южная Корея (Сеул), Гонконг, восток США
1 принцип
Распределяйте учётные данные по пользователям и задачам, соблюдая минимальные права
Обзор способов подключения

Сначала выберите способ по задаче, не делайте графический рабочий стол единственным каналом

Три способа могут использоваться одновременно. Для повседневной автоматизации выбирайте SSH или Runner; общий экран включайте только для просмотра интерфейса Xcode, изменения системных настроек или графической диагностики.

НИЗКИЕ НАКЛАДНЫЕ РАСХОДЫ

Для непрерывной сборки и удалённого администрирования

Используйте SSH для клонирования репозиториев, установки зависимостей, запуска тестов, сборки Xcode из командной строки, просмотра логов, синхронизации артефактов и проверки диска. Стабильные скрипты должны использовать аутентификацию по ключу, а псевдоним узла следует добавить в локальную конфигурацию SSH.

  • Подходит для скриптуемых операций с возможностью аудита
  • В нестабильной сети восстанавливается проще, чем графический интерфейс
  • Для длительных задач можно использовать инструменты сохранения сессии
Подготовка к первому подключению

После получения данных подключения выполните шесть проверок

Сбой подключения часто вызван не неисправностью хоста, а несоответствием адреса узла, имени пользователя, сетевых правил или статуса заказа. Проверяйте всё в указанном порядке, чтобы не действовать методом проб и ошибок.

  1. 01

    Проверьте статус заказа

    Войдите в консоль, проверьте, передан ли экземпляр, и подтвердите модель, узел и срок аренды по текущему заказу. Данные подключения должны полностью соответствовать этому экземпляру.

  2. 02

    Проверьте адрес узла

    Скопируйте адрес хоста из консоли. Не используйте адреса из старых заявок, скриптов или командных чатов. В командах с несколькими узлами добавляйте к адресам метки назначения.

  3. 03

    Проверьте имя пользователя

    Имя пользователя SSH и имя пользователя графической сессии могут отличаться. Не угадывайте имя по умолчанию и не встраивайте временный пароль в скрипты.

  4. 04

    Подготовьте временные учётные данные

    Временные учётные данные предназначены только для первого входа. Сразу после успешной авторизации обновите их и сохраните новые данные в утверждённом командой менеджере паролей.

  5. 05

    Проверьте локальную сеть

    Убедитесь, что текущая сеть разрешает исходящие соединения к целевому порту. Корпоративная сеть, прокси и средства защиты могут ограничивать SSH или графические подключения — заранее уточните это у сетевого администратора.

  6. 06

    Создайте запись о хосте

    Зафиксируйте узел, назначение, ответственного, отпечаток хоста и дату смены учётных данных. После первого подключения не игнорируйте предупреждения об изменении отпечатка.

Данные подключения конфиденциальны

Не вставляйте временные учётные данные, закрытые SSH-ключи, токены репозитория или сертификаты подписи в публичные обсуждения, полные логи конвейера или незашифрованные документы. При обращении в поддержку предоставляйте только обезличенный вывод команд.

Открыть консоль и проверить данные подключения
Подключение по SSH

Сначала подтвердите личность хоста, затем перейдите на вход по ключу

В командах ниже используются заполнители; реальные адреса узлов и учётные данные не указаны. Замените заполнители данными из консоли и выполняйте команды в доверенной сети.

ШАГ 01

Соберите и проверьте отпечаток хоста

Перед первым подключением получите открытый ключ хоста ED25519, вычислите его отпечаток и сравните с данными передачи. Не игнорируйте предупреждение без предварительной проверки.

ШАГ 02

Создайте отдельный ключ

Создайте отдельную пару ключей для узла ZoneMini. Закрытый ключ храните на локальном контролируемом устройстве, а открытый ключ добавьте в список разрешённых на удалённом хосте.

ШАГ 03

Настройте понятный псевдоним

Сохраните в конфигурации SSH адрес хоста, имя пользователя, путь к ключу и параметры поддержания сессии, чтобы не вводить их вручную и не путать разные узлы.

ШАГ 04

Проверьте вход и отключите зависимость от пароля

Убедитесь, что вход по ключу работает, и только после этого обновите временные учётные данные. Не удаляйте единственный рабочий способ входа до проверки ключа.

Проверка отпечатка хоста 
ssh-keyscan -t ed25519 <node-address> > zonemini_hostkey
ssh-keygen -lf zonemini_hostkey
Создание ключа и подключение 
ssh-keygen -t ed25519 -f ~/.ssh/zonemini_ed25519
ssh-copy-id -i ~/.ssh/zonemini_ed25519.pub <user>@<node-address>
ssh -i ~/.ssh/zonemini_ed25519 <user>@<node-address>
~/.ssh/config 
Host zonemini-build
  HostName <node-address>
  User <user>
  IdentityFile ~/.ssh/zonemini_ed25519
  ServerAliveInterval 30
  ServerAliveCountMax 3

Общий экран macOS

Графический интерфейс нужен для задач, где важно видеть рабочий стол

Общий экран подходит для графической отладки в Xcode, проверки системных настроек и контроля архивирования. Скрипты сборки, сбор логов и пакетные операции по-прежнему лучше выполнять через SSH.

FINDER / ПОДКЛЮЧЕНИЕ

Начните подключение из Finder

В Finder на macOS выберите «Переход» → «Подключиться к серверу», введите адрес сервера из данных передачи и войдите в сессию с разрешённым именем пользователя и учётными данными.

Формат адреса vnc://<node-address>
  1. 01

    Откройте «Подключиться к серверу»

    Используйте пункт подключения к серверу в Finder и не сохраняйте учётные данные через ярлыки из ненадёжных источников.

  2. 02

    Введите данные авторизации

    Проверьте имя пользователя и адрес узла, затем введите учётные данные. При совместной работе не используйте одну и ту же долгосрочную учётную запись.

  3. 03

    Настройте качество изображения

    При нестабильной сети сначала снизьте разрешение или качество цвета. Рабочий стол высокого разрешения увеличивает объём передачи данных и задержку ввода.

  4. 04

    Ограничьте содержимое буфера обмена

    Не копируйте закрытые ключи, полные токены или пароли в открытом виде. Перед вставкой между сессиями проверьте целевое окно и текущего пользователя.

  5. 05

    Заблокируйте сессию после работы

    Закрытие клиента не всегда означает выход с рабочего стола. После завершения работы заблокируйте сессию и закройте конфиденциальные окна, которые больше не нужны.

Кроссплатформенный графический доступ

Для клиентов не на macOS сначала проверьте протокол, сеть и поддержку дисплея

На рабочих станциях Windows или Linux потребуется совместимый инструмент графического подключения. Разные клиенты могут по-разному поддерживать сочетания клавиш, буфер обмена, цвета, масштабирование и несколько мониторов — сначала проверьте их на неконфиденциальной задаче.

Подготовка клиента

Выберите клиент с поддержкой целевого протокола подключения, шифрования и пользовательского разрешения. Источник установки должен быть проверен командой, а версия — актуальной.

  • Проверьте раскладку клавиатуры и сопоставление специальных клавиш
  • Проверьте наличие переключателя буфера обмена
  • Проверьте способ выхода из полноэкранного режима и блокировки сессии

Подготовка сети

Сначала проверьте DNS, маршрутизацию и целевой порт, затем протестируйте графическую сессию. Корпоративный прокси, межсетевой экран на выходе и переключение между беспроводными сетями могут прервать сессию.

  • По возможности используйте стабильную проводную или доверенную сеть
  • Не переключайте сеть во время подключения
  • Сохраняйте SSH как отдельный канал диагностики

Настройки дисплея

Сначала выполните проверку с одним монитором и средним разрешением, затем постепенно увеличивайте размер изображения. При чёрном экране или обрезанном изображении вернитесь к меньшему разрешению и установите сессию заново.

  • Настройте масштабирование под размер окна клиента
  • Отключите ненужную анимацию и эффекты прозрачности
  • Задачи с высокой точностью цветопередачи сначала сравните локально

Критерии оценки кроссплатформенного подключения

Подключение подходит для повседневного процесса, если ввод стабилен, логи читаются, основные сочетания клавиш работают правильно, а сессию можно безопасно завершить. Если задачу можно полностью автоматизировать, выбирайте SSH или CI Runner.

Подключение CI Runner

Поручите фиксированному узлу воспроизводимые задачи очереди

Runner должен использовать отдельную учётную запись, отдельный рабочий каталог и ограниченный токен. Сначала запустите минимальный тестовый конвейер, затем добавляйте сборку с подписью, кэширование и архивирование.

  1. 01

    Создайте отдельный рабочий каталог

    Разделите исходный код, кэш зависимостей, промежуточные файлы сборки и конечные артефакты, чтобы задать правила очистки и отслеживать использование диска.

  2. 02

    Зарегистрируйте Runner с ограниченными правами

    Токен должен разрешать только целевой репозиторий и необходимые операции. Не используйте личный токен доступа повторно и не записывайте токен в репозиторий или вывод сборки.

  3. 03

    Настройте метки очереди

    Назначайте метки по версии Xcode, типу проекта, модели устройства или нагрузке, чтобы несовместимые задачи не запускались в неподходящей среде.

  4. 04

    Запустите тесты и архивирование

    Сначала проверьте зависимости и запустите модульные тесты, затем выполните архивирование. При сбое сохраните необходимые логи, но не загружайте безусловно весь каталог пользователя.

  5. 05

    Передайте артефакты и выполните очистку

    После подтверждения загрузки артефактов в целевое хранилище удалите временные учётные данные, временную связку ключей, устаревший кэш и ненужные каталоги сборки.

ЗАПУСК / АРХИВ / ОЧИСТКА Минимальный каркас задачи 
set -euo pipefail

WORK_DIR="$HOME/ci-work/project"
RESULT_DIR="$HOME/ci-results"

mkdir -p "$WORK_DIR" "$RESULT_DIR"
cd "$WORK_DIR"

git fetch --prune
git checkout "$CI_COMMIT_REF"

xcodebuild \
  -scheme "$CI_SCHEME" \
  -destination "generic/platform=iOS" \
  test

xcodebuild \
  -scheme "$CI_SCHEME" \
  -archivePath "$RESULT_DIR/App.xcarchive" \
  archive

find "$WORK_DIR" -name "*.tmp" -delete
Входные данные: репозиторий, ветка, ограниченные переменные среды Задача: тестирование, архивирование, сбор логов Артефакты: файл архива, обезличенные логи, код завершения
Контрольный список безопасности

Управляйте правами доступа как зависимостями сборки

Для каждого права доступа должны быть указаны ответственный, назначение и срок действия. Общие учётные записи без владельца, токены репозитория и временные файлы постепенно лишают фиксированную среду сборки возможности аудита.

A1

Включите аутентификацию по ключу

Каждый сопровождающий должен использовать отдельный ключ. При уходе участника из проекта удалите соответствующий открытый ключ, не затрагивая доступ остальных.

A2

Ограничьте общие учётные записи

Даже при необходимости общей среды разделяйте личный вход и автоматизированные учётные записи. Не используйте повседневную учётную запись администратора для Runner.

A3

Регулярно меняйте токены

Ведите журнал ротации токенов репозитория, токенов регистрации Runner и временных учётных данных; своевременно удаляйте просроченные токены.

A4

Минимизируйте права репозитория

Задачам сборки предоставляйте доступ только к необходимым репозиториям и веткам. Для загрузки артефактов и чтения исходного кода можно использовать разные учётные данные.

A5

Блокируйте графическую сессию

Перед уходом с рабочего стола заблокируйте сессию, закройте окна с конфиденциальными данными и очистите ненужное содержимое буфера обмена.

A6

Удаляйте ненужные учётные данные

После завершения задачи удалите временные закрытые ключи, одноразовые токены, временные связки ключей и больше не используемые файлы авторизации.

Быстрая диагностика подключения

Сначала классифицируйте проблему, затем соберите минимум полезных данных

Не меняйте подряд пароль, адрес и клиент в надежде на случайный успех. Сначала запишите тип ошибки, время, локальную сеть, узел и способ подключения, затем выполните соответствующую проверку.

Таблица распространённых проблем SSH, общего экрана и удалённых сессий
Симптом Сначала проверить Действие Приложить к обращению в поддержку
Тайм-аут подключения Адрес узла, локальная сеть, правила выхода, целевой порт Переключитесь на доверенную сеть; проверьте доступность порта; убедитесь, что не используется старый адрес Время, узел, тип сети клиента, обезличенный результат проверки
Ошибка аутентификации Имя пользователя, путь к ключу, права файла, обновлены ли учётные данные Используйте подробный лог SSH, чтобы определить выбранный ключ; проверьте открытый ключ в списке разрешённых Строка ошибки, имя пользователя, отпечаток ключа; не прикладывайте закрытый ключ или полный пароль
Изменение отпечатка хоста Менялся ли адрес узла, пересоздавался ли экземпляр или изменялся ли локальный псевдоним Прекратите подключение; повторно сверьте отпечаток в консоли; после подтверждения обновите запись Узел, старый и новый отпечатки, время первого обнаружения
Чёрный экран графической сессии Заблокирована ли сессия, разрешение дисплея, совместимость клиента Снизьте разрешение; установите сессию заново; проверьте состояние системы через SSH Система клиента, версия клиента, настройки дисплея и обезличенный снимок экрана
Неправильное разрешение Масштабирование клиента, режим нескольких мониторов, размер окна Вернитесь к одному монитору и среднему разрешению, затем поочерёдно восстановите настройки Ожидаемое и фактическое разрешение, коэффициент масштабирования, тип клиента
Частые разрывы сессии Переключение беспроводной сети, прокси, политика простоя, нестабильность канала Используйте стабильную сеть; настройте поддержание SSH-соединения; перенесите длительные задачи в постоянную сессию Частота разрывов, длительность, изменения сети и относящиеся к проблеме фрагменты логов
Проверка портов и маршрутизации 
nc -vz <node-address> 22
route -n get <node-address>
Подробный лог SSH 
ssh -vvv zonemini-build 2>&1 | tee ssh-debug.log
Пакет данных для заявки

Чтобы команда поддержки могла сразу начать диагностику

Укажите номер заказа, один из вариантов ZoneMini M4 Core / ZoneMini M4 Plus / ZoneMini M4 Pro, узел, время возникновения, способ подключения, шаги воспроизведения, ожидаемый результат и обезличенные логи. Не загружайте закрытые ключи сертификатов, токены репозитория или полные пароли.

Открыть консоль и отправить заявку Отправить письмо на support@zonemini.com
Подготовка перед заказом

Определите способ доступа, модель и узел, затем создайте запись подключения

Подготовьте назначение, число параллельных задач, необходимый объём памяти, целевой узел и срок аренды. Данные подключения по текущему заказу доступны в консоли; вопросы по настройке можно сначала проверить в справочном центре.

Арендовать облачный Mac Открыть справку по подключениям и сборке