管理代理技能共享¶

本指南描述 Orca 技能共享的首次发布访问、生命周期、保留和恢复契约。操作员运行手册仍然是事件命令和环境特定流程的权威来源。

访问模型¶

• 共享包是未列出的持有者资源。Orca 不提供公开浏览、搜索、接收方清单或包索引。
• 任何拥有有效且未过期链接的人都可以检查包，并在无需登录的情况下请求短期下载授权。
• 发布、包/版本管理、自有链接清单、吊销和删除需要具有当前组织访问权限的已认证包所有者。
• 缺失、过期、已吊销、已删除和未授权的资源返回相同的非泄露响应。
• 桌面和远程运行时不会收到 GCP 身份或长期存储凭据。

持久共享 ID 是凭据。请勿将其放入工单、日志、分析或支持包中。如果链接可能已到达非预期接收方，请使用吊销。

吊销与删除¶

吊销共享会立即阻止新的解析和下载授权。在吊销前签发的绑定代次的授权可在其五分钟过期前继续有效。已安装的技能仍保留在接收方机器上。

包删除遵循以下顺序：

1. 将包标记为已删除，并吊销其活动共享。
2. 事务性地取消对保留版本的引用。
3. 仅删除没有保留版本引用的对象代次。
4. 在部分数据库或 GCS 故障后，协调有界的待处理删除。

当活动固定共享引用某个版本时，不能删除该版本。删除使用精确记录在案的 GCS 代次，并且从不覆盖不可变的已发布键。

用户和组织离开¶

包属于所有者租户，并记录发布用户。在组织租户中，发布方离开后，另一名当前成员可以管理该包；Orca 不会重写记录的创建者。移除用户不会自动吊销组织的链接、删除包或移除已安装副本。

在删除组织租户之前：

1. 禁用该租户的新授权。
2. 由授权操作员清点并吊销活动共享。
3. 决定包是转移给另一个授权所有者、保留还是删除。
4. 解决法律保留、擦除和审计保留要求。
5. 应用协调的元数据和对象生命周期；不要绕过引用检查。

产品尚未编码通用的所有权转移或法律保留策略。在外部推出之前，隐私、安全和组织所有者必须批准适用策略。在该决定被记录之前，保留元数据和软删除代次，而不是猜测。

保留契约¶

组织保留、法律保留和擦除要求优先于产品回滚保留。产品删除不是法律保留机制。

审计与隐私¶

审计记录可能包括包/版本 ID、参与者 ID、事件类别、结果和时间戳。它们不得包括技能内容、文件名、清单、组织成员列表、本地路径、持久共享 URL、上传策略、下载授权或凭据。匿名滥用控制不得持久化原始请求者 IP 地址。

常规 Cloud 日志仅限于路由、方法、状态、时长和有界的失败类别。在验证预生产日志和诊断导出时，使用预置的隐私金丝雀。

恢复与事件控制¶

上传、下载和远程安装操作具有独立的紧急开关。禁用受影响范围最小的操作；现有本地发现和安装继续工作。

协调 PostgreSQL 时间点恢复与 GCS 代次恢复。将元数据恢复到隔离的数据库中，识别精确引用的代次，仅恢复匹配的软删除对象，验证归档和包身份，然后事务性地重新指向元数据。在持有者预览和绑定代次的下载通过之前，保持授权禁用。

有关部署控制、协调、饱和、签名失败、数据库中断和受保护的恢复工作流，请参阅 Orca Cloud docs/skill-sharing-runbook.md。安全不变量和未解决发布门记录在 代理技能共享威胁模型。