三种常见部署边界
LoneAct 的部署不是“全部上云”或“全部离线”的二选一。通常可以把运行端放在数据所在的位置，把云端只作为账号、发现和授权控制面。
本地 / 私有运行端
项目、对话、团队、记忆与密钥在组织控制的机器或私有基础设施上。
云端控制面
账号、设备 归属、远程授权、在线状态与必要审计记录。
模型服务
选择组织批准的供应商、区域与 自带密钥 路由；模型请求按供应商协议处理。
身份、授权与审计
当前版本以 LoneAct 账号、激活码/套餐、设备 归属、Project 授权和 Grant 为核心。管理员可以通过这些边界控制“谁可以使用哪个项目与哪种能力”，而不是依赖一个隐式的超级账号。
| 控制点 | 作用 | 建议 |
|---|---|---|
| LoneAct 账号 | 登录、套餐、激活码与设备侧身份 | 按成员发放，不共享个人账号 |
| Activation code / plan | 承载额度、有效期与产品权益 | 按团队或项目分配，定期检查余额与到期 |
| 设备 | 标识运行端归属与在线状态 | 只注册受控设备，离职及时移除 |
| Project / Grant | 限定可见项目、能力与有效期 | 最小权限、短期授权、用完撤销 |
| Audit | 记录授权、管理动作与中继事件 | 按组织策略导出与留存 |
不要把路线图当作现有能力
本文档只描述当前可验证的账号、激活码、设备 与 Grant 机制。组织级 SSO、SCIM、细粒度 RBAC 或合规认证是否可用，应以实际部署版本与商务协议为准。
模型出口与数据驻留
业务数据本地优先不等于模型请求不出网络。Agent 处理任务时，当前上下文会发送给配置的模型服务；使用 MCP 或连接器时，相关请求也可能到达外部服务。
模型出口
选择组织批准的区域、供应商与部署方式；敏感项目优先使用私有部署或专有连接。
服务出口
MCP server、Connectors 与远程工具各自有数据边界，启用前确认它们会访问哪些数据与网络。
本地存储
运行端保存项目、对话、团队、记忆与执行记录；按组织备份策略保护存储目录。
云端元数据
控制面保存账号、设备、Grant 与必要审计记录；不把项目文件复制成第二份云端仓库。
上线前检查
建议由平台、安全与业务负责人共同确认
- 运行端部署位置、存储目录、备份与删除责任明确。
- 模型供应商、区域、自带密钥 与数据保留条款已审批。
- 账号、激活码、设备 与 Grant 的发放/撤销流程有负责人。
- 项目 allowlist、预算、工具审批与审计留存符合组织策略。
- 已用一个小型真实项目验证模型、工具、密钥和断线/恢复行为。
- 已明确未交付能力（如 SSO/SCIM）的替代流程与时间表。