vastai-security-basics

用途：Vast.ai 租用方掌控凭据与工作负载配置，但不拥有物理主机，本技能用于在部署工作负载前做安全审查，适用共享市场硬件场景。\n\n主要能力与步骤：一是约束控制面，创建命名的范围化密钥，只授予需要的权限类别并限制端点，区分人员、CI、监控与部署身份；二是建立 SSH 信任，创建前注册专用公钥、保护私钥、解析当前连接端点并按策略校验主机身份；三是核验工作负载来源，使用不可变镜像摘要并扫描、记录入口点，避免把注册表、模型和存储凭据写入镜像层或启动文本；四是限制主机与网络暴露，敏感负载优先使用经核验的数据中心，只开放必要端口，不在不可信主机上放置机密或受监管明文；五是保护可恢复性，加密关键数据、将存储凭据限定到运行前缀，并在停止、到期、主机故障或销毁前做外部检查点；六是轮换与收尾，撤销临时密钥、移除过期 SSH 密钥和环境变量、确认资源已销毁并保留脱敏审计凭据。\n\n用法与限制：API 密钥等价于密码且默认不过期；环境注入适合 CI，但日志、shell 跟踪、生成的 curl 命令和调试包不得含机密。检查清单与配置时先用 Read 和 Grep 查看清单、配置、提供商输出和既有测试，仅在已批准方案下用 Write 或 Edit；未获操作方明确批准，不得创建、更新、销毁或为 Vast.ai 资源付费。输出应包含威胁与数据放置决策、凭据/SSH/镜像/主机/网络/存储控制、正反向访问测试与销毁凭证，并返回工作负载类别、主机信任层级、密钥 ID 与范围、镜像摘要、暴露端口、检查点位置和清理结果。资料未提供具体 CLI 命令与示例代码。