云端 Mac 交付后首小时：SSH 密钥与 Web VNC 接入清单

首小时验收标准：两条通路各跑通一次

租用云端 Mac 后，最容易浪费时间的不是装软件，而是接入方式没定下来——有人只用 VNC 图形界面，结果 CI 脚本没法跑；有人只配了 SSH，遇到系统扩展批准或 App Store 登录又不得不临时找桌面。我们建议把「首小时完成」定义为下面四项全部打勾：

• SSH 密钥登录成功，且已关闭密码认证
• 浏览器 Web VNC 能进入 macOS 桌面并完成一次点击操作
• 本地 ~/.ssh/config 写好 Host 别名，重启终端后一条命令即可连入
• 记录节点时区、macOS 版本与控制台订单号，便于后续工单沟通

下文按「先拿凭证 → 先 SSH 后 VNC → 再优化延迟 → 最后收尾」的顺序展开。实测环境为 JexMac 中国香港节点 Mac mini M4（16 GB 统一内存、256 GB NVMe、1 Gbps 独享带宽），测试窗口 2026 年 7 月；从控制台显示「已交付」到 SSH 密钥登录成功，中位耗时约 8 分钟（含密钥生成）。

控制台里凭证在哪：四个字段别找错

Guest 免注册支付与注册账户下单，交付后的凭证位置相同：登录控制台，选中对应实例，在「接入终端」区块查看。交付完成前会显示「接入信息生成中」动画；状态变为已交付后，以下四项同时出现：

常见误区：把 Guest 订单的接入链接丢进书签却未注册账户——Guest 凭证仅在当前浏览器会话有效，换设备或清缓存后需凭支付邮箱找回。若团队多人协作，建议付款后立即注册并把订单绑定到账户，避免凭证散落在外部聊天工具里。

Ed25519 密钥：本地生成与 ssh-copy-id

在本地机器（macOS、Linux 或 Windows 11 自带 OpenSSH）生成专用密钥，不要复用个人 GitHub 那把——云端 Mac 密钥泄露等于整台物理机沦陷。

1. 01
   生成 Ed25519 密钥对

   ssh-keygen -t ed25519 -C "jexmac-cloud-mac" -f ~/.ssh/jexmac_ed25519

   Passphrase 建议设置——密钥文件落盘加密，防笔记本遗失时被直接滥用。

2. 02
   首次密码登录并写入公钥

   从控制台复制 SSH 命令，例如：

   ssh-copy-id -i ~/.ssh/jexmac_ed25519.pub -p <端口> admin@<公网IP>

   若系统无 ssh-copy-id，可手动：

   cat ~/.ssh/jexmac_ed25519.pub | ssh -p <端口> admin@<IP> "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

3. 03
   验证免密登录

   ssh -i ~/.ssh/jexmac_ed25519 -p <端口> admin@<IP> "uname -a && sw_vers"

   应返回 Darwin 内核与 macOS 版本号，全程不再提示密码。

4. 04
   写入本地 SSH config 别名

   Host jexmac-hk
       HostName <公网IP>
       Port <端口>
       User admin
       IdentityFile ~/.ssh/jexmac_ed25519
       IdentitiesOnly yes

   之后只需 ssh jexmac-hk 即可连入。

Windows 用户把 config 放在 C:\Users\<你>\.ssh\config，PowerShell 7 与 Windows Terminal 均支持上述语法。WSL 内生成的密钥与 Windows 宿主不共享时，记得在 WSL 侧单独生成或挂载同一 .ssh 目录，避免「在 WSL 里配好了，却在 PowerShell 里连不上」的错位。

SSH 安全基线：关密码、管指纹、限来源

密钥验证通过后再改服务端配置——顺序反了可能把自己锁在门外，只能走 VNC 桌面救场。

1. 01
   确认 authorized_keys 权限

   chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys

   权限过宽时 OpenSSH 会忽略公钥，表现仍是密码登录——这是首连失败的高频原因。

2. 02
   关闭密码认证（需 sudo）

   编辑 /etc/ssh/sshd_config，确保：

   PasswordAuthentication no
   PubkeyAuthentication yes
   PermitRootLogin no

   保存后 sudo launchctl kickstart -k system/com.openssh.sshd 或重启实例使配置生效。改前务必另开终端窗口验证密钥登录仍可用。

3. 03
   固定 known_hosts 指纹

   ssh-keyscan -p <端口> <IP> >> ~/.ssh/known_hosts

   防止首次连接时的 MITM 提示被习惯性忽略。团队可共享同一段 fingerprint 到内部文档。

浏览器 Web VNC：免客户端首连步骤

Web VNC 适合首次进桌面、App Store 登录、批准系统扩展——这些场景纯 SSH 无法完成。JexMac 控制台内一键打开，底层经 noVNC 在浏览器渲染，无需安装 RealVNC Viewer。

1. 01
   从控制台启动会话

   实例详情顶栏点击「网页 VNC」，或右侧快捷 dock 的「远程桌面」。新标签页打开 vnc.html，先显示「正在接入 macOS 桌面」加载动画。

2. 02
   等待首帧与输入密码

   首帧画面通常在 12 秒内出现（香港节点、电信宽带实测）。若提示 VNC 认证，输入控制台「接入终端」区域的密码——与 SSH 初始密码一致。

3. 03
   完成一次 GUI 验收

   打开「系统设置 → 通用 → 关于本机」，确认芯片为 Apple M4、内存 16 GB；打开终端跑 hostname 与 SSH 侧一致即表示双通路指向同一实例。

4. 04
   会话结束

   点击 HUD 左上角「返回控制台」关闭标签即可，无需在 macOS 内单独注销。长时间空闲后会话可能断开，重新从控制台打开即可。

浏览器建议：Chrome / Edge / Safari 最新稳定版；Firefox 可用但 WebGL 软解时帧率略低。公司网络若拦截 WebSocket，表现为一直停在「正在接入」——换手机热点或联系网管放行 HTTPS 出站即可验证。

第三方 VNC 客户端：延迟调优要点

当你需要长时间拖拽 Xcode 界面或 Instruments 时间线，浏览器 VNC 的帧率可能不够——此时在 SSH 已稳定的前提下，值得配置 RealVNC Viewer 或 Jump Desktop。你拥有完整管理员权限，可自行启用 macOS「屏幕共享」或安装 RealVNC Server（若系统未预装）。

调优参数的经验值（香港节点、华南 100 Mbps 家庭宽带）：

Jump Desktop 在 Apple Silicon 上对触控板手势映射更完整；RealVNC 跨平台客户端在 Windows 宿主上更轻量。两者都需要你在 macOS 图形会话里先完成一次「允许屏幕录制 / 辅助功能」授权——这就是为什么我们推荐首连顺序永远是 SSH 验证 → Web VNC 进桌面 → 再配第三方。

跨境网络排错：节点选型与链路诊断

「SSH 超时」「VNC 黑屏」有一半是路由问题，不是实例故障。JexMac 五处节点——新加坡、日本（东京）、韩国（首尔）、中国香港、美国东部——硬件与定价一致，差异主要在 RTT 与晚高峰丢包。

粗选原则：

• 大陆华南 / 华东用户：优先中国香港或新加坡，RTT 通常 30–80 ms
• 日本本土或面向 App Store JP 测试：日本（东京）
• 韩国本地化或 K-RPC 调试：韩国（首尔）
• 面向北美用户或美区 API：美国东部，跨境 RTT 150–220 ms 属正常，勿与香港比延迟

链路诊断命令（在本地执行）：

ping -c 20 <公网IP>
mtr -rwzc 50 <公网IP>
ssh -vvv jexmac-hk

ping 丢包持续超过 5% 时，先换本地网络（手机热点）排除 ISP 国际出口拥堵；mtr 若在骨干某跳开始丢包，换邻近节点往往比工单重启更有效；ssh -vvv 卡在 Connecting 多半是端口或本地防火墙，确认控制台 SSH 端口与命令一致。

更多 FAQ 见帮助中心 · 远程接入；仍无法恢复时，从控制台提交工单，附上 mtr 截图、浏览器版本与订单号，7×24 真人支持通常 1 小时内回复。

首小时收尾清单：时区、更新与协作习惯

接入通路稳定后，用最后十分钟做「以后少踩坑」的基线配置：

1. 01
   确认时区与 locale

   sudo systemsetup -gettimezone

   CI 日志与本地开发机时区不一致会导致「构建时间差 8 小时」的假象；按需 sudo systemsetup -settimezone Asia/Shanghai 等。

2. 02
   推迟大版本系统更新

   在「系统设置 → 通用 → 软件更新」暂停 major upgrade，避免 Runner 跑一半系统重启。安全补丁可在维护窗口手动装。

3. 03
   安装命令行工具（若尚未预装）

   xcode-select --install

   弹窗需 GUI 确认——若 SSH-only 环境报错，切 Web VNC 点一次「安装」即可。

4. 04
   团队共享规范

   把 Host 别名、节点区域、订单号写入内部 Wiki；密钥每人一把，禁止把私钥文件丢进仓库。Guest 订单尽快绑定注册账户。

至此，首小时清单闭环。后续无论是装 Xcode、注册 GitHub Actions Runner，还是启用 OpenClaw 沙箱，都建立在「SSH 自动化 + VNC 救场」双通路之上——缺一条，排错成本都会成倍上升。

没有本地 Mac 时：按项目节奏租用远程环境

很多读者租云端 Mac 并不是为了 7×24 开机，而是发版周需要一台稳定 macOS、平时又不想维护硬件。自购 Mac mini 要处理采购、机房与证书轮换时的现场操作；借用同事笔记本则面临 Xcode 版本冲突和 sleep 中断构建。

JexMac 提供独享 Mac mini M4 物理机（非 VPS 虚拟化），16 GB 统一内存、256 GB NVMe、1 Gbps 独享带宽，按天 $21.5 起、按周 $57.9、按月 $107.3，付款后 1–5 分钟交付 SSH / VNC 凭证，无合同锁定。五处节点可按受众地理位置选择——面向大陆开发者测试通常选中国香港或新加坡，面向美区 TestFlight 则选美国东部。

与「远程桌面 SaaS 共享池」相比，物理机独享意味着 CPU 与内存不被邻居挤占，Instruments 与 xcodebuild 的耗时不随他人 job 波动；与 cloud VM 不同，你拿到的是完整 macOS 管理员权限，屏幕共享、钥匙串与 Homebrew 行为与本地 Mac 一致。短租冲刺、长跑 CI、临时 OpenClaw 实验可以同一套接入流程复用——本文清单可直接当作每次新实例的 SOP。