实验沙箱

（部分： 业务和管理）

1）任命和原则

沙箱是一个孤立的环境，可以安全地进行实验（fichi，configi，模型，过程），而无需承担数据服务，金钱和个人数据的风险。

• 默认隔离：网络、数据、秘密、计费。
• 可重复性：虚构/座位，工件版本，确定性管道。
• 道德与安全：保护PII，guardrails和SoD。
• 可观察性：指标/logi/tresa与销售一样，但带有标记的环境。
• 效率：快速升空/拆除（ephemeral），成本帽。

2）沙箱分类

Dev Sandbox：本地开发+测试密钥；最起码的数据。
Feature Sandbox（预览）：用自己的URL（静态字幕）环绕到分支/PR。
Integration Sandbox：带有测试外部集成（PSP/KYC/内容提供商）的全功能展位。
数据科学/ML Sandbox：访问匿名切片，实验跟踪器，模型寄存器/幻灯片。
Chaos/Resilience Sandbox：注射故障、减速、限制。
Partner Sandbox： 带测试证书的外部合作伙伴/tenant的隔离展示和API。

3）架构与隔离

网络周长：单独的VPC/NSG，封闭的子网，通过带有allow-list的网关的egress。
身份和可用性：用于sandbox的单个IdP组/角色，具有短TTL的JIT权限。
秘密：Vault/KMS中的单个存储/内部空间；禁止与prod共享秘密。
数据："信任区"（public → synthetic → anonymized → masked replica）。禁止直接访问prod-PII。
工件：具有签名发行版（DSSE）的映像/软件包/config注册表，语义转换。

4）实验数据

合成（生成轮廓，分布接近战斗）。
匿名（蒙面/令牌化，k-匿名，聚合的diff隐私）。
Fixturs（现成的案例："支付>限额"，"不有效的KYC"，"关联纠纷"）。
座椅/脚本：带有"seed_id"（边缘桉例目录）的确定性生成器。
新鲜规则/TTL：套件的寿命，禁止过滤。

5）Ephemeral环境

自动提升介质至公关/分支（IaC）、专用域/证书。
通过TTL/Merge的车载；CPU/RAM/egress限制，存储配额。
Autoprogreve fixtur/sids；QA/产品/合作伙伴的面板状态。
签名的snapshots，用于重现错误。

6）实验： 类型和技术

A/B/n和feature-flags：按部门/地区分列的百分比折迭和目标。
影子流量：对沙箱的真实请求副本,无副作用（写入）。
金丝雀/蓝绿色：实验路线的实际流量百分比很小。
混沌注射：延迟，错误，成瘾失败，"短暂"的时间。

datadrift/Model： backtesting, offline度量,online-guardrails.

7）Guardrails和道德

策略如代码：OPA/ABAC-您可以使用哪里/什么数据。
实验的Guardrails：潜伏期限制，error-rate限制，付款/限制限制，禁止操纵UX模式。
SoD："触发实验"≠"断言"≠"分析和做出决定"。
道德：对受影响用户（酌情）的透明度，尊重弱势群体。

8）可观察性和指标

标记为：'{environment=sandbox, experiment_id, variant, seed_id}'。
SLI：可用性，p95，error-rate，计算正确性，匹配quote↔checkout。

实验KPI： 转换、保留、投诉、成本/1k, egress.

Guardrails：负信号（frod/charjbacks生长,RG触发）-瞬间停止。

9）成本和FinOps

CPU/RAM/egress per-sandbox配额；预算/上限80/90/100%。
Downsampling和度量/逻辑保留期；文物在T+N天后进入廉价层。
"节省按钮"：停止不活动的沙箱，自动存档snapshots。

10）实验注册和可重复性

实验团： "{id，假设，所有者，设计，日期，度量，guardrails，工件，解决方案}。"

协议自动生成：时间线、工件版本、数据样本、截图/跟踪。
引用PR/tikets/dashbords；"planned/running/frozen/closed"状态。

11）安全和合规性

分开的角色和钥匙；管理面板MFA/FIDO2。
PII-仅合成器/蒙面；通过数据所有者的批准请求访问聚合。
Webhooks：带有签名/TTL/nonce的测试末端；禁止发送到prod。
用于关键实验（财务/负责任游戏）的WORM期刊。
沙箱中也遵守区域限制（数据/密钥本地化）。

12）与外部提供商集成

PSP，KYC，内容提供商的测试帐户/证书。
标题/元数据中的环境标记（"X-Sandbox：true"），单独的限制和报告。
模拟具有潜在性/错误控制的响应（模拟器）。

13）流程和RACI

14） SLO沙箱

ephemeral介质的上升时间≤ 10分钟（p95）。

Integration Sandbox ≥ 99中核心服务的可用性。5%.

销售计划/合同匹配：100％（CI验证）。
实验工件的完整性（协议/版本/度量）=100％。
每单位时间的sandbox成本≤ N（按预算）。

15）类型花花公子

Shadow流量会产生错误：禁用写入,启用写入,增加模拟器的计时器。
价格差异（quote≠checkout）：对账"fx_version/tax_rule_version"、缓存失效、目录中的虚假。
Egress激增：打开压缩,降低拼写水平,重新计算配额。
提供程序故障：切换模拟器/备用提供程序,修复潜伏期。
PII标志：立即隔离沙箱，移走文物，通知隐私/法律。

16） iGaming/fintech特点

RTP＆Limits：仅合成模拟，无实际支付计算；导游参加博览会。
付款/PSP：测试商品、隔离"灰色"交易、手动结算到模拟器。
会员/webhooks：测试签名，sandbox中的托管逻辑，收据对账。
负责任的游戏：RG事件模拟器，检查UX消息和限制。

17）实施支票

• 描述沙箱水平和责任区（Dev/Preview/Integration/ML/Chaos/Partner）。
• 部署用于ephemeral环境的IaC模板（通过PR自动执行）。
• 配置身份/秘密/网络：完全隔离与prod。
• 创建Fixtur/Sids和合成数据集目录；引入TTL。
• 连接可观察性和实验标签；让Guardrails和Alertes。
• 启用Experiment Registry和协议模板。
• 配置外部提供商和模拟器的测试轮廓。
• 引入配额/预算和FinOps-dashbord。
• 道德/合规法规（PII，通知，SoD）。
• 进行GameDay：测试密钥泄漏，egress激增，PSP模拟器故障。

18) FAQ

可以使用"非人格散文"吗？
只有经过严格的匿名/面具并具有单独的周长；首选合成数据。

是否需要单独的域/证书?

是的，以消除销售交叉点，简化安全策略。

如何迅速关闭沙箱以防止账单上涨？
TTL，默奇/非活动自动拆除，预算差分，"节省按钮"。

Preview与Integration有何不同?

Preview-用于fici/PR，固定字幕；Integration是一个功能齐全的展位，设有测试提供商。

摘要：沙盒是用于安全和诚实实验的托管基础设施。隔离网络/数据/秘密,使用合成工具包,通过公关提升电子环境,包括可观察性和监视器,维护实验注册表并控制成本。因此，您将加速创新，而不会对软件业务，参与者和合规性构成风险。