页面状态： 部署能力按具体 Profile 验证；统一灾备与离线运维方案尚非通用承诺。
私有化把 Fellow 的部分服务和持久数据部署在客户控制的网络中，但不会自动保证所有数据不出域。模型端点、Connector、MCP、镜像源、日志出口和告警通道都可能跨越网络边界。
职责与信任边界
客户运维团队负责网络、基础设施、密钥托管、备份和外部依赖；Fellow 的 Gateway、Runtime 与 Console 只对实际部署和启用的组件负责。私有网络、模型服务、Connector 和管理面属于不同信任域，凭证不得跨域复用。
上线前检查
- 明确 Gateway、Console、数据库、Runtime / Sandbox 和 Connector 的部署位置。
- 盘点模型与外部服务的出站地址、TLS、代理和域名解析要求。
- 将 Console Secret、App Key、模型凭证和 Connector Secret 分域存储并制定轮换流程。
- 确认数据卷、备份范围、日志留存和恢复责任人。
- 根据实际 Profile 验证沙箱、网络、资源限制和 Host 能力。
当前可用
Fellow 支持 Cloud / Server 与私有化 Docker 等路径，Console 可管理多个实例。数据库、Sandbox、Stream Bridge 和部分 Channel 开关仍可能由 Profile 或环境变量控制，变更后可能需要重启或重新部署。
运维边界
Console 属于管理面，不代替 Gateway 与 Runtime 执行业务请求。客户网络、基础设施、模型供应商和外部系统分别保有自己的可用性与数据责任。离线镜像供应、自动灾备、蓝绿升级和统一回滚应按实际交付版本确认，不得视为默认能力。
版本与恢复边界
升级前记录应用、Gateway、Host、Console 和协议版本，备份配置与持久数据，并在隔离环境验证迁移。恢复演练必须覆盖密钥、数据库、数据卷和外部依赖；仅备份容器镜像不足以恢复业务状态。