2026 облачный Mac: офбординг при окончании аренды — снять доверие SSH, очистить known_hosts на клиентах и заархивировать доказательства общего экрана и VNC перед возвратом MacLogin

Возврат облачного Mac MacLogin требует рассматривать окончание аренды как двустороннюю задачу доверия: mini перестаёт принимать ваши ключи и каждый ноутбук инженера должен забыть отпечатки хоста, алиасы JumpHost и кэшированные приглашения общего экрана. Это руководство от 18 мая 2026 даёт матрицу стереть / сохранить / юридический hold, исполняемые шаги снятия SSH, проверки остатков VNC, рецепт tarball доказательств и девять шагов, согласованных с JSON-LD страницы. Дополнительно: админы и сервисные учётные записи, ростер Fast User Switching, управление только приглашениями. Операции: справка; следующая аренда: цены.

Кто владеет завершением аренды, если несколько поставщиков касаются одного mini

FinOps часто решает коммерческое продление, но безопасность должна владеть криптографическим снятием: одна забытая строка в authorized_keys может пережить счёт. Платформа владеет LaunchAgents и CI-токенами; helpdesk — приглашениями общего экрана для подрядчиков. Строка RACI на регион (Гонконг, Токио, Сеул, Сингапур, США) не даст полуночному выводу из эксплуатации оставить коллегу с открытым окном VNC без приёмки.

Худшие сбои бесшумны: автоматизация продолжает опрашивать TCP 22 по имени, уже указывающему на другого арендатора, или блок ~/.ssh/config переподключается к переработанному железу. Ниже — явные человеческие подтверждения вместо предположения, что гипервизор стёр доверие на клиентах.

• Лид безопасности: подпись ротации или отказа от ротации ключей хоста.
• Identity: отзыв краткоживущих сертификатов, привязанных к lease_id.
• Владельцы приложений: экспорт БД и объектного хранилища перед удалением домашних каталогов.

Матрица: стереть, сохранить или архивировать с юридическим hold

Каждая строка получает инициалы в тикете изменения. Типовые цифры: 90 дней горячих логов sshd, 180 дней холодных доказательств SOC2, 7 дней перекрытия старой и новой аренды при миграции.

Артефакт	По умолчанию	Когда сохранять	Доказательство
Домашние каталоги на mini	Криптоочистка или переработка у провайдера	Юридический hold—сначала снимок в шифрованное объектное хранилище	Манифест контрольных сумм + ответственный
Срезы единого журнала	Экспорт с ограниченными предикатами	Требование 180-дневного воспроизведения	JSON сохранённого поиска + размер
Строки known_hosts клиента	Удалить совпадающие хосты	Общий бастион — новый stanza Host	Список удалённых отпечатков
Приглашения общего экрана	Отозвать + пустой список в GUI	Break-glass в соседней аренде	Ссылка на тикет HR

Снятие доверия SSH: сервер, principals, гигиена клиента

48 часов заморозки выравнивают последний экспорт Unified Logging со стабильной конфигурацией sshd. Если нужны человеческие входы для FDA или FileVault, сначала удалите автоматизацию из authorized_keys. При пользовательских SSH-сертификатах отзовите principal во внутреннем CA — не удаляйте только публичную половину на диске.

Аудиты чаще падают на клиенте: CSV канонических имён хостов и IP для macOS, Windows и Linux CI, удаление из ~/.ssh/known_hosts. На неделе переработки задокументируйте временный запрет StrictHostKeyChecking=accept-new в скриптах.

Остатки VNC и общего экрана

Остаются сохранённые имена компьютеров, часть контекстов Kerberos и кэшированные учётные данные в пакете Screen Sharing .app операторов. После чеклиста «только приглашение» от 12 мая проверьте Системные настройки ▸ Общий доступ. Отмените сопряжения личного Apple ID даже если корпоративный SSO уже покрывает SSH. Сверьте ростер с руководством FUS, чтобы не удалить учётную запись автоматизации во время GUI-установки.

Связка ключей, объекты входа и LaunchAgents по пользователям

Корпоративный Wi‑Fi, токены Git HTTPS в связке, сертификаты разработчика: экспортируйте замаскированные выборки security find-generic-password для аудита, затем удаляйте только записи, привязанные к аренде. Для ~/Library/LaunchAgents сначала launchctl bootout, затем plist. Для /Library/LaunchDaemons запишите хэши plist в tarball до изменений, если финансы продлят аренду в последний момент.

Пакет доказательств: что аудиторы ждут в метаданных tarball

sshd_config с комментариями, финальные фрагменты sudoers, вывод diskutil apfs list, выдержка system_profiler SPHardwareDataType, CSV удалённых отпечатков SSH. README: lease_id, регион MacLogin, была ли ротация ключей хоста. SHA-256 tarball в системе изменений — часто достаточно для SOC2 без сырого образа диска.

Файл	Назначение	Минимум хранения
sshd_unified.log.zst	Принятие ключей и причины разрыва	90 дн. горячо, 1 год холодно
vnc_invite_screenshot.png	Пустой список приглашений	До следующей выборки аудита
launchctl_print.txt	Снимок загруженных сервисов	180 дней

Девять шагов от заморозки до запроса переработки MacLogin

1. Заморозить на 48 ч, уведомить каналы HK/JP/KR/SG/US.
2. Экспортировать предикаты sshd, tccd, screensharingd.
3. Удалить principals автоматизации из authorized_keys и sudoers.
4. bootout и удалить plist с контрольной суммой.
5. Собрать экспорты приложений или дампы БД перед удалением домашних каталогов.
6. Раздать пакет очистки known_hosts и устаревших блоков Host.
7. Проверить приглашения общего экрана и кэш на ноутбуках операторов.
8. Прикрепить SHA-256 tarball к тикету переработки.
9. Запросить переработку только после подписи безопасности; оставьте ≥ 24 ч на откат, если FinOps возобновит аренду.

FAQ

Заменяет ли ротация ключей хоста очистку known_hosts? Нет: нужны оба шага; только ротация без обновления клиентов даёт жёсткие ошибки; без ротации без очистки остаётся тихое доверие к старым ключам.

Личный Apple ID для общего экрана? Как теневой IT: отзыв, доказательство для HR, запрет в следующей аренде.

Следующий арендатор и повторное использование железа? Не недооценивайте ключи хоста и состояние хранилища после очистки у провайдера; никогда не переиспользуйте закрытые ключи между арендами.

SSH уже отключён? Если не было FDA/установщика — укажите N/A с причиной в README tarball.

Разница часовых поясов Гонконг / Токио? Общий календарь заморозки и комментарии о завершении с меткой UTC с обеих сторон.

Почему Mac mini M4 подходит для дисциплинированной передачи

Объединённая память M4 и предсказуемое поведение сна дают более стабильные снимки diskutil / system_profiler, чем горячий ноутбук под столом. Многорегиональная схема MacLogin позволяет репетировать офбординг на лабораторном mini в Сингапуре, затем применить тот же чеклист в Гонконге, Токио или США без дрейфа x86-скриптов. Аренда остаётся обратимой примерно 7 дней — восстановление из набора plist в архиве. GUI-шаги приложите к руководству VNC MacLogin.