物理隔离部署

物理隔离是一种许可证模式

拔掉网线并不能得到一个物理隔离的部署。普通的 ObjectOS 许可证是在线校验的： 运行时在控制平面上用你的许可证密钥换取一个短期授权，并定期重新检查。切断这条 路径，许可证并不会"回落到离线"—— 它根本永远无法生效。

物理隔离许可证是另一种许可证，由我们有意离线签发。它在本地依据镜像中内嵌的 公钥进行校验，并以零网络流量挂载你的授权。物理隔离运行是一项企业版能力 —— 参见许可证与定价 —— 你需要的许可证是申请来的，而不是 配置出来的。

因此，一个断网部署要同时声明两件事：

• 一个物理隔离许可证，以及
• 没有控制平面：云端姿态设置被显式设为 off（它的别名 none、local 和 disabled 含义相同）。

不设置并不等于"不连云"

这是本页上代价最高的错误，所以它有自己的一节：

未设置的云端姿态会解析为公共控制平面。

未设置从来不是中立的。它选中的是联网行为 —— 这就是为什么一个"什么都没做"的部署 最终会挂载一个市场代理，并暴露一个设备绑定路由，而这个站点的全部前提就是不与 任何人通信。声明一个姿态会被接受；不做决定则不行。请显式写上 off。

受支持的组合

这些组合在加载配置时、在任何与许可证相关的事情发生之前就会被检查。不受支持 的组合不是警告，也不是降级：运行时会打印一条同时点名两项设置的致命错误，然后 退出。

为什么会拒绝

在线许可证通过一次交换来校验，这次交换必须出示一个在部署绑定控制平面时签发的 运行时令牌。没有控制平面就没有绑定，没有绑定令牌就不可能存在，于是交换永远不会 发生 —— 这次启动不会，以后的启动也不会。宽限期也帮不上忙：宽限期从上一次成功 的校验开始计算，而第一次成功永远不会出现。

如果不加以强制，这种配置会在之后才失败，而且归咎于错误的东西：在多组织姿态下， 它最终会抱怨部署"需要许可证"—— 而许可证恰恰是唯一从未出错的东西。所以运行时会 更早地拒绝，并说明是哪两项设置相互矛盾。由于拒绝发生在任何校验尝试之前，一次被 拒绝的启动不会发出任何数据包。

托管的多组织形态也需要物理隔离许可证

如果你运行的是组合形态 —— 一个已发布的应用作为本部署的应用启动，多个组织 在隔离墙后共享一个数据库 —— 那么物理隔离许可证在那里同样不是可选的。该模式直接 拒绝市场和云连接界面，所以在线许可证所需的绑定在它上面永远不可能发生。它要求 物理隔离许可证和 off，两者都在启动时强制执行，并且它在部署包中有自己的环境 模板。不要改写单环境模板来达到它；复制组合形态的那个模板，这样它所决定的每一个 值都会随之而来。

把镜像带进网络内部

ObjectOS 运行时镜像位于断网站点无法访问的私有镜像仓库中，所以镜像要像你的其他 产物一样跨越边界。

在联网一侧完成校验，趁你还能访问镜像仓库和工具：针对你即将送入内网的确切摘要， 检查签名、SBOM 和构建溯源（部署包的 README 中有相关命令）。然后让 摘要完成剩下的工作 —— 它是按内容寻址的，所以确认网络内部的副本具有相同的 摘要，就证明了它与你校验过的是同一批字节。这也是部署固定摘要而不是标签的原因： 在边界之内，没有任何东西可以用来重新解析标签。

升级的方式相同：在外部校验新的摘要，把它传入内部，修改固定的摘要，然后重启。 保留上一个摘要 —— 在物理隔离的网络中，它可能是你唯一能回滚到的副本。

哪些仍然必须可达

物理隔离的意思是 ObjectOS 本身不需要任何流量 —— 没有许可证校验，没有市场， 没有更新检查。它并不意味着部署没有网络。在你的边界之内，它仍然需要：

• 它所配置的数据库；
• 你的入口或负载均衡器，用于入站流量；
• 你配置它去通信的任何东西：身份提供商、SMTP、对象存储、webhook 目标、AI 提供商端点。如果你的用户通过 OIDC 登录，那么这个身份提供商必须能从该网络访问， 否则就改用本地账户。

许可证本身带有到期时间，在每次启动时本地检查 —— 没有回连，所以要把续期规划成 一次交付，而不是指望运行时自己去获取。

下一步

• Docker → 企业版额外提供 —— 完整的校验、许可证、扩缩容和升级。
• 升级和备份 —— 上述步骤所概括的操作流程。