2026 雲端 Mac 租期結束離場：在歸還 MacLogin 裝置前拆除 SSH 信任、清理用戶端 known_hosts，並歸檔螢幕共享與 VNC 的移交證據

安全與平台團隊在歸還 MacLogin 雲端 Mac 時，必須把租期結束視為雙向信任問題：一方面 mini 不再接受你們的金鑰，另一方面每位工程師的筆電也必須忘記主機金鑰、跳板別名以及快取的螢幕共享邀請。本篇 2026 年 5 月 18 日運維手冊提供抹除／保留／法務保全矩陣、可執行的 SSH 拆除步驟、VNC 殘留核查、證據 tarball 配方以及與本頁 JSON-LD 對齊的九步執行路徑。請與 管理員與服務帳號一致性手冊、快速使用者切換排班手冊、螢幕共享僅邀請治理 交叉閱讀。營運細則亦可查閱 說明中心；若計畫在新租約中擴容，請於 價格頁 比較方案與區域。

當多家供應商碰觸同一台 mini 時，誰對租期終止負責

財務營運通常掌握續約的商業決策，但安全團隊必須掌握密碼學拆除，因為一行遺漏的 authorized_keys 可能比發票活得更久。平台工程應負責 LaunchAgents 與 CI 權杖，IT 服務台則負責承包商曾獲得的螢幕共享邀請。為香港、東京、首爾、新加坡、美國各寫一行 RACI，避免某一時區的深夜下線讓另一時區的同事仍開著 VNC 視窗卻無人簽收。

試點結束時最危險的是沉默型故障：自動化仍用曾解析到本租約的網域名去輪詢 TCP 22，而 DNS 已指向他人；或開發者的 ~/.ssh/config 仍指向已回收硬體。下列流程以顯式人類確認取代「假設虛擬化層抹碟就夠了」的僥倖心理。

• 安全負責人簽署主機金鑰輪換或明確不輪換的風險接受。
• 身分團隊吊銷與 lease_id 綁定的短期憑證 principal。
• 業務負責人在抹除使用者主目錄前匯出資料庫或物件儲存。

決策矩陣：抹除、保留，或帶法務保全的歸檔

把矩陣當作設計評審附件；每一列在變更工單上都應有簽字縮寫。文中數字對應常見企業留存：90 天 sshd 熱日誌、180 天 SOC2 證據冷存、以及遷移窗口期新舊租約重疊 7 天的並行期。

物件	預設策略	何時保留	需附證據
mini 上的使用者主目錄	加密抹除或走供應商回收流程	法務保全——先快照到加密物件儲存	校驗清單＋保管人姓名
/var/log 統一日誌切片	匯出有限述詞	監管要求 180 天可回放視窗	儲存的搜尋 JSON＋位元組規模
用戶端 known_hosts 列	刪除符合主機名	共用堡壘複用別名——遷移到新 Host 段	已移除指紋清單
螢幕共享邀請	撤銷並核對 GUI 清單為空	相鄰租約仍需應急玻璃打破通道	關聯 HR 工單號

SSH 信任拆除：伺服器端金鑰、principal 與用戶端衛生

先用 48 小時凍結視窗讓最後一次統一日誌匯出與穩定的 sshd 設定對齊。若仍需真人登入處理 FDA 或 FileVault 流程，應先刪除自動化寫入的 ~/.ssh/authorized_keys 再刪人類金鑰。若部署了 SSH 使用者憑證，必須在內建 CA 吊銷綁定到 lease_id 的 principal，而不能只在磁碟上刪除公鑰半段。

用戶端衛生是稽核高頻失分點：向 macOS、Windows、Linux CI Runner 發送一份 canonical 主機名與 IP 清單，要求從 ~/.ssh/known_hosts 中清除。配套發一封說明信，解釋回收週內為何暫時禁止 ssh -o StrictHostKeyChecking=accept-new 的指令碼化用法。

VNC 與螢幕共享殘留：邀請、觀察員與純 GUI 信任

螢幕共享會留下社會性痕跡：儲存的電腦名稱、某些企業綁定下的 Kerberos 票證，以及操作員筆電上螢幕共享 .app 內快取的憑證。先依 5 月 12 日僅邀請治理文章走清單，再核對系統設定中的共享清單是否仍有意外觀察員。若承包商曾以個人 Apple ID 做臨時配對，即便企業 SSO 已涵蓋 SSH，也要撤銷這些配對並截圖留存。

對交替使用 SSH 自動化與 GUI 偵錯的艦隊，請以 快速使用者切換手冊 對帳工作階段排班，避免在 GUI 安裝尚未結束時誤刪仍在前台的自動化帳號。

依使用者的鑰匙圈項目、登入項目與 LaunchAgents

每個曾登入 mini 的人類帳號都可能存了企業 Wi‑Fi 憑證、鑰匙圈裡的 Git HTTPS 權杖，或用於臨時簽名的開發者憑證。先匯出經脫敏的 security find-generic-password 樣本供稽核，再僅刪除與租約綁定的項目。~/Library/LaunchAgents 下的 plist 應先用 launchctl bootout 卸載再刪檔，以免 launchd 反覆拉起已斷路徑的 ProgramArguments。

/Library/LaunchDaemons 下的系統級常駐程式需要提權變更視窗；刪除前把 plist 雜湊寫入證據 tarball，以便財務在最後一刻延長租約時可回滾。

證據包：稽核方在 tarball 中繼資料裡期待什麼

該 tarball 應當詳盡到乏味：sshd_config（含註解）、最終 sudoers 片段、diskutil apfs list 輸出、system_profiler SPHardwareDataType 序號片段，以及被移除 SSH 指紋的 CSV。README 中寫明 lease_id、MacLogin 區域代碼、是否執行主機金鑰輪換。以 SHA-256 雜湊 tarball 並把摘要上傳到變更系統——這一習慣常能單獨滿足多數 SOC2 證據請求而無需外傳整碟映像。

檔案	用途	最短留存
sshd_unified.log.zst	接受金鑰事件與斷線原因	熱存 90 天，冷存 1 年
vnc_invite_screenshot.png	證明邀請清單已清空	至下一次稽核抽樣
launchctl_print.txt	已載入服務快照	180 天

從凍結到向 MacLogin 申請回收的九步執行路徑

1. 凍結設定 48 小時，並在涵蓋香港、日本、韓國、新加坡、美國的 Slack／Teams 頻道公告。
2. 匯出針對 sshd、tccd、screensharingd 的統一日誌述詞。
3. 吊銷與租約綁定的 authorized_keys 與 sudoers 片段中的自動化主體。
4. 卸載引用專案路徑的 LaunchAgents／Daemons，再以校驗和證明刪除 plist。
5. 擷取應用程式資料匯出或資料庫傾印，再抹除使用者主目錄。
6. 下發用戶端清理包，清除 known_hosts 與過期的 ~/.ssh/config Host 段。
7. 校驗螢幕共享邀請清單，並移除操作員筆電上的快取憑證。
8. 附上證據 tarball 的 SHA-256 到回收變更工單。
9. 僅在安全簽字後向 MacLogin 申請回收；若財務可能復活租約，至少保留 24 小時回滾視窗。

常見問題

若輪換主機金鑰，能否跳過用戶端 known_hosts 清理？不能——輪換但用戶端未更新會導致硬失敗；不輪換卻跳過清理則代表指令碼仍信任陳舊金鑰。應兩者兼顧，或在工單中寫明風險接受。

承包商用個人 Apple ID 做螢幕共享怎麼辦？按影子 IT 處理：撤銷配對、為 HR 留截圖，並在下一租約政策附錄禁止該模式。

與硬體回收的關係？下一租戶繼承供應商抹碟後的主機金鑰與儲存狀態——假設部分重疊，絕不在租約之間複用私鑰。

若已停用 SSH，是否還需要 VNC？若從未出現 FDA 或安裝程式彈出視窗，可於證據 tarball 的 README 紀錄「不適用及理由」。

香港與日本團隊時區不同如何對齊？在共用行事曆上凍結視窗，並要求兩地各指定一名值班人在工單留言區以 UTC 時間戳確認完成。

為何 Mac mini M4 的硬體形態有利於嚴謹的租約移交

Apple Silicon M4 的統一記憶體與更可預測的休眠行為，使 diskutil 與 system_profiler 快照比在桌下發熱筆電上更一致。MacLogin 多區域裸金屬佈局意味可先在新加坡低風險實驗 mini 上演練離場，再把同一清單套到香港、東京與美國生產，而無需為 x86 漂移改寫指令碼。

租賃模式讓終局在 7 天內可逆：若財務復活租約，可憑 tarball 中的 plist 集合快速恢復，而無需等待採購重新出貨。準備下一專案時，請把本手冊與 VNC 存取說明 一併交給 GUI 密集型清理任務的值班同事，以保持操作一致性。