部署
本地运行时与本地 Kubernetes 两条部署路径的完整步骤，包括前置安装、私密配置与部署后验证。
本地运行时
本地运行时以单条命令启动控制面，并让控制面为每个任务创建进程级运行环境。这是验证领域模型最快的路径。
make run-local
启动后打开 http://127.0.0.1:8080，进入设置中的模型网关页面完成配置。配置步骤见下一节。任务使用的模型在创建任务时选择。
本地运行时适合验证领域模型、控制面、任务运行时与产物交接。它不提供 Kubernetes 的资源隔离与网络策略边界。
本地 Kubernetes 部署
Kubernetes 路径部署完整的隔离执行边界。在此之前，必须先完成 Agent Sandbox 前置安装——Agent Sandbox Controller、RuntimeClass 与网络策略执行器不在统一 Helm 安装的范围内。
前置安装步骤见仓库中 deploy/prerequisites/agent-sandbox 下的说明。
生成私密配置
Helm 安装需要一个私密 values 文件，承载数据库凭据、对象存储凭据与初始管理员配置。先生成并妥善保存该文件，不要提交到版本库。
执行安装
FUSION_HELM_VALUES=/absolute/path/helm-private.yaml make deploy-local
该命令执行统一 Helm 本地安装。它不会构建镜像，也不会接管既有清单管理的集群资源。也可以把私密 values 路径作为 deploy/helm/deploy-local.sh 的首个参数传入。
部署后的验证边界
安装成功只证明 Helm 释放完成与基础健康检查通过。它不证明以下任何一项：
- 控制面能连上模型网关并完成一次真实推理；
- 运行器能克隆目标仓库；
- 沙箱能按预期施加执行边界；
- 任务能从创建走到交付。
这些需要分别验证。四层验证边界见平台运维章节。
配置模型网关
无论哪条路径，任务要运行都需要一个可用的模型网关。
- 进入平台设置中的模型网关页面。
- 填写网关地址。
- 保存 API 密钥。密钥由平台主密钥加密保存，页面与接口都不会回显。
- 添加上架模型及其提供方与模型标识。
- 在创建任务时选择模型。
平台按能力类别管理网关。承载对话与推理的网关与承载向量化的网关拥有各自独立的地址、能力目录、健康状态与凭据版本，即使部署把它们指向同一个底层网关，也不会合并领域身份。
凭据分两级：平台凭据由管理员配置，供平台自身使用；用户凭据由每个成员自行保存，供其有权访问的工作范围使用。普通成员不能读取或写入平台凭据，工作范围中的 Agent 也不会回退到用户凭据。
配置企业身份与文档拉取
如果需要企业统一登录或从企业文档系统拉取需求正文，需要 PostgreSQL 身份模式。
系统管理员登录后进入设置中的企业身份与文档页面，填写区域、应用标识、应用密钥与公开基础地址，并分别启用统一登录或文档授权。保存后立即生效，无需重启。应用密钥只写入或轮换，页面与接口不会回显。
以下环境变量仅用于首次启动或灾难恢复：数据库尚无管理员配置时会创建初始记录，已有配置时不会覆盖管理员修订。
FUSION_LARK_APP_ID=cli_xxx
FUSION_LARK_APP_SECRET=***
FUSION_PUBLIC_BASE_URL=https://example.internal
FUSION_LARK_AUTO_PROVISION=true
应用中需要登记两个回调地址：一个用于登录，一个用于独立的文档授权。内容授权需要文档读取与离线访问权限。当前只支持管理员输入一个明确的文档地址拉取 Markdown，不会扫描整个知识空间，也不声称继承原系统的访问控制。
验证安装
make verify
聚合检查覆盖协议权威与退役门禁、各独立模块的静态检查、测试与构建，以及前端类型检查与生产构建。
涉及沙箱、浏览器或外部存储的功能还应执行对应的真实运行验收。编译通过或基础健康检查不能替代运行验收。