2026 Cloud-Mac Lease-Ende-Offboarding: SSH-Vertrauen abbauen, Client-known_hosts säubern und VNC-Übergabenachweise vor MacLogin-Rückgabe archivieren

Die Rückgabe eines MacLogin Cloud-Macs erfordert Lease-Ende als bilaterales Vertrauensproblem: Der Mini akzeptiert keine Schlüssel mehr und jedes Entwickler-Notebook muss Host-Keys, Jump-Host-Aliase und zwischengespeicherte Bildschirmfreigabe-Einladungen vergessen. Dieses Runbook vom 18. Mai 2026 liefert eine Matrix Löschen/Behalten/Legal Hold, ausführbare SSH-Abbau-Schritte, VNC-Rückstandsprüfungen, ein Tarball-Rezept für Beweise und neun Schritte passend zum JSON-LD dieser Seite. Ergänzend: Admin vs. Servicekonto, Fast User Switching Roster, Nur-Einladung-Bildschirmfreigabe. Betrieb: Hilfe; nächster Lease: Preise.

Wem gehört das Lease-Ende, wenn mehrere Anbieter denselben Mini berühren

FinOps entscheidet oft über Verlängerung, aber Sicherheit besitzt den kryptographischen Abbau, denn eine vergessene Zeile in authorized_keys überlebt manchmal die Rechnung. Plattform besitzt LaunchAgents und CI-Tokens; Helpdesk besitzt Bildschirmfreigabe-Einladungen für Auftragnehmer. Eine RACI-Zeile pro Region (Hongkong, Tokio, Seoul, Singapur, USA) verhindert, dass Mitternachts-Decommissioning einen Kollegen mit offenem VNC-Fenster ohne Abnahme zurücklässt.

Die schlimmsten Fehler sind leise: Automatisierung pollt weiter TCP 22 gegen einen Hostnamen, der nun einem anderen Mieter gehört, oder ~/.ssh/config verbindet erneut mit recycelter Hardware. Die folgenden Schritte erzwingen explizite menschliche Bestätigungen statt der Annahme, Hypervisor-Wischer ersetzten Client-Vertrauen.

• Sicherheitslead: Hostschlüssel-Rotation oder bewusste Nicht-Rotation unterzeichnen.
• Identity: Kurzlebige Zertifikats-Principals zum lease_id widerrufen.
• App-Owner: Datenbanken und Objektspeicher vor Löschung der Benutzerhomes exportieren.

Entscheidungsmatrix: löschen, behalten oder mit Legal Hold archivieren

Jede Zeile erhält Initialen auf dem Change-Ticket. Typische Zahlen: 90 Tage sshd-Hot-Logs, 180 Tage SOC2-Kaltnachweis, 7 Tage Überlappung alter und neuer Leases bei Migration.

Artefakt	Standard	Behalten wenn	Nachweis
Benutzerhomes auf dem Mini	Kryptolöschung oder Provider-Recycling	Legal Hold—zuerst Snapshot in verschlüsselten Objektspeicher	Checksum-Manifest + Verwaltername
Unified-Log-Slices	Export mit begrenzten Prädikaten	180-Tage-Replay-Pflicht	Gespeicherte Such-JSON + Größe
Client-known_hosts	Passende Hostzeilen löschen	Gemeinsamer Bastion-Host—neues Host-Stanza	Liste entfernter Fingerabdrücke
Bildschirmfreigabe-Einladungen	Widerrufen + leere GUI-Liste	Break-Glass im Nachbar-Lease	HR-Ticketreferenz

SSH-Vertrauen abbauen: Server, Principals, Client-Hygiene

48 Stunden Änderungsstopp aligniert den letzten Unified-Logging-Export mit stabiler sshd-Konfiguration. Wenn menschliche Logins für FDA oder FileVault nötig sind, entfernen Sie zuerst Automatisierungs-authorized_keys. Bei SSH-Benutzerzertifikaten Principal im internen CA widerrufen—nicht nur die öffentliche Hälfte auf der Platte löschen.

Audits scheitern oft am Client: CSV mit kanonischen Hostnamen und IPs an macOS, Windows und Linux-CI-Runner verteilen und aus ~/.ssh/known_hosts entfernen. In der Recycle-Woche dokumentieren Sie das temporäre Verbot von StrictHostKeyChecking=accept-new in Skripten.

VNC- und Bildschirmfreigabe-Rückstände

Gespeicherte Rechnernamen, manche Kerberos-Kontexte und zwischengespeicherte Anmeldedaten im Screen-Sharing-.app-Bundle der Operatoren bleiben. Nach der Nur-Einladung-Checkliste vom 12. Mai Systemeinstellungen ▸ Freigaben prüfen. Persönliche Apple-ID-Kopplungen widerrufen, auch wenn Unternehmens-SSH bereits abdeckt. Roster mit FUS-Runbook abgleichen, damit kein Automatisierungskonto während einer GUI-Installation gelöscht wird.

Schlüsselbund, Anmeldeobjekte und LaunchAgents pro Benutzer

Unternehmens-Wi‑Fi, Git-HTTPS-Tokens, Entwicklerzertifikate im Schlüsselbund: maskierte security find-generic-password-Stichproben exportieren, dann nur lease-gebundene Einträge löschen. ~/Library/LaunchAgents: zuerst launchctl bootout, dann plist entfernen. Bei /Library/LaunchDaemons plist-Hashes vor Änderung in den Tarball schreiben, falls Finanzen den Lease zuletzt verlängern.

Beweispaket: was Prüfer in Tarball-Metadaten erwarten

sshd_config mit Kommentaren, finale sudoers-Fragmente, diskutil apfs list, Auszug system_profiler SPHardwareDataType, CSV entfernter SSH-Fingerabdrücke. README mit lease_id, MacLogin-Region, Hostschlüssel-Rotation ja/nein. SHA-256 des Tarballs im Change-Tool—oft SOC2-tauglich ohne Roh-Image.

Datei	Zweck	Mindestaufbewahrung
sshd_unified.log.zst	Key-Akzeptanz und Trenngründe	90 Tage heiß, 1 Jahr kalt
vnc_invite_screenshot.png	Leere Einladungsliste	Bis nächstes Audit-Sample
launchctl_print.txt	Schnappschuss geladener Dienste	180 Tage

Neun Schritte vom Freeze bis MacLogin-Recycling

1. Einfrieren 48 h, Kanäle HK/JP/KR/SG/US informieren.
2. Exportieren sshd/tccd/screensharingd-Prädikate.
3. Entfernen Automatisierungs-Principals aus authorized_keys und sudoers.
4. bootout, plist mit Checksum löschen.
5. Erfassen App-Exporte oder DB-Dumps vor Home-Löschung.
6. Verteilen known_hosts-/Host-Block-Bereinigungspaket.
7. Prüfen Bildschirmfreigabe-Einladungen und Cache-Zugangsdaten auf Operator-Laptops.
8. Anhängen SHA-256 des Beweis-Tarballs.
9. Anfordern Recycling nur nach Sicherheitsfreigabe; mindestens 24 h Rollback-Puffer, falls FinOps den Lease reaktiviert.

FAQ

Ersetzt Hostschlüssel-Rotation known_hosts-Pflege? Nein: beides nötig; Rotation ohne Client-Update scheitert hart; ohne Rotation ohne Bereinigung bleibt stilles Vertrauen in alte Keys.

Persönliche Apple-ID für Bildschirmfreigabe? Als Shadow IT behandeln: widerrufen, HR-Nachweis, Verbot im nächsten Lease.

Nächster Mieter und Hardware-Reuse? Hostkeys und Speicherzustand nach Provider-Wisch nicht unterschätzen; niemals private Schlüssel zwischen Leases teilen.

SSH bereits aus? Wenn nie FDA/Installer: N/A mit Begründung im Tarball-README.

Zeitzonen HK vs. Tokyo? Gemeinsamer Kalender-Freeze und UTC-stempelte Abschlusskommentare beider Teams.

Warum Mac mini M4 für disziplinierte Übergaben passt

Einheitlicher Speicher M4 und vorhersehbarer Ruhezustand liefern stabilere diskutil-/system_profiler-Schnappschüsse als heiße Notebooks unter dem Tisch. Multi-Region-Bare-Metal bei MacLogin erlaubt Offboarding-Rehearsal in Singapur, dann dieselbe Checkliste in Hongkong, Tokio oder US-Produktion ohne x86-Skript-Drift. Miete bleibt ~7 Tage reversibel—Stützung über archivierte plist-Sets. GUI-Schritte mit MacLogin-VNC-Leitfaden bündeln.