隔离 AWS 账号
不得使用生产账号或 Root 凭据执行试点部署。
DEPLOYMENT READINESS
部署工具包与准备清单
工具包 v0.2.0 · 适用于 AWS 单节点、IPv4 全隧道公网出口、隔离非生产环境
版本化工具包已经可以公开审阅并通过本地规则检查；真实 AWS 端到端验收仍在进行中。在完成握手、DNS、出口、重启和删除核验前，不应将其用于生产环境。
下载技术审阅材料
技术审阅包包含 CloudFormation 模板、环境检查、密钥生成、变更集、部署、验收、配置生成、删除与残留核对脚本，以及中文操作说明。当前包内门禁会主动拒绝真实部署；完成 AWS 端到端验收并发布新的可部署版本前，请只用于代码、安全和流程审阅。
ZIP SHA-256：2df0287550a53d4c788fe3dc86ac9dbbbe48a89c47583dfca26d10beb5e66d41
开始前必须确认
明确区域
确认实例规格可用、数据驻留要求和预计公网流量。
预算告警
部署前设置预算阈值，并理解 EC2、EBS、公有 IPv4 和出站费用。
本地客户端密钥
客户端私钥只在本地生成，CloudFormation 只接收公钥。
删除窗口
事先约定试点结束时间、负责人和 CloudFormation 栈删除步骤。
执行顺序与停点
核验工具包
核对 VERSION、SHA256SUMS 和模板哈希；脚本无遥测，也不会向 NodalCove 上传配置。
本地生成密钥
客户端私钥仅写入本地 0600 文件；只有公钥进入 CloudFormation 参数。
只读预检与变更集
先核对 AWS 身份、区域、配额、模板与预计资源，不创建收费资源。
人工确认后部署
确认账号、区域、栈名、模板哈希和费用边界后，才执行变更集。
基础设施与连接验收
核对启动成功信号、SSM、WireGuard、DNS、HTTPS、出口 IP、重启恢复和安全组。
删除与残留核对
保存删除前资源清单，删除栈后逐项核对 EC2、EBS、EIP、VPC、IAM 和费用延迟。
费用与网络边界
模板会创建会计费的 EC2、8 GiB gp3 磁盘、公有 IPv4，并可能产生互联网出站流量、税费和支持计划费用。它不创建 NAT Gateway、负载均衡器或数据库。AWS Budget 只能告警，不是硬性停机上限。
当前模式是独立 VPC 中的 IPv4 全隧道公网出口，不会自动连接客户现有 VPC 工作负载。访问既有私网需要另行设计 Peering、Transit Gateway 或路由。
删除不等于省略核对
CloudFormation 会发起集中删除，但必须等待栈进入删除完成状态，并根据工具包保存的清单核对 EC2、EBS、EIP、VPC、IAM Role/Profile 等是否残留。Cost Explorer 可能延迟显示，需稍后复核。