远程双手不是「无限制的远程 root 权限」，而是受严格 SLA、合规与物理边界约束的标准化操作服务。采购时若只看单价不看边界，上线后必踩坑；运维若把它当万能外包，故障时必扯皮。核心观点：把「能做什么」写进合同附件，把「不能做什么」写进运行手册，责任划分才不会变成口头承诺。
一、授权范围：标准动作清单 vs 非标审批流
IDC 通常提供 Standard Remote Hands 清单：开关机、换拔光模块/网线、贴标签、读取 LCD/指示灯状态、重启 PDU 端口。这些属于「预授权」，工单提交即执行。
超出清单的动作——如 BIOS 参数调整、RAID 卡重建、硬盘物理销毁见证、光纤熔接、机柜重新布线——均属 非标授权。工程上可行的做法：
- 建立
Remote Hands Runbook，每个非标动作对应一张审批单，含风险评估、回滚步骤、预计耗时。 - 要求服务商提供现场技术人员资质证明（如 BICSI、厂商认证），拒绝「临时工」操作核心设备。
- 在合同中约定：非标动作单次封顶价、超时赔付标准、是否允许客户视频旁路监督。
二、安全限制：物理访问控制与数据隔离
机房入口的双因子认证（门禁卡+生物识别）只解决「人进得去」，不解决「人能碰什么」。必须在合同与技术层面落地三条红线：
- 最小权限陪同：服务商工程师全程由安保陪同，仅能接触工单指定的 U 位设备，严禁打开相邻机柜、拍摄机房全景、插入非授权 USB 设备。
- 数据介质管控：更换故障硬盘时，旧盘必须在客户视频见证下现场物理销毁（打孔/消磁）或封签归还，禁止带出生产区。若涉及加密设备（如 HSM、自加密盘），须约定「不掉电拔盘」或「密钥分离」操作流程。
- 网络隔离：远程双手专用的 OOB 管理网（iDRAC/iLO/IPMI）必须与生产业务网物理或逻辑隔离，服务商不得拥有业务平面登入权限。
三、资料处理：日志、录像与证据链
操作留痕不是为了事后甩锅，而是为了故障复盘与合规审计。建议落地三层记录：
| 层级 | 内容 | 保存期 | 存储方 |
|---|---|---|---|
| 工单流 | 申请、审批、执行、验收、关闭的完整时间戳与人员 ID | ≥ 1 年 | 客户 ITSM 系统 |
| 现场录像 | 机柜正面、操作手部特写、指示灯变化，含时间水印 | ≥ 90 天 | IDC 安保系统（客户只读） |
| 设备日志 | 服务器 IPMI/BIOS 日志、交换机 Port 状态变更、PDU 电流波形 | ≥ 180 天 | 客户日志平台 |
关键动作（如硬盘销毁、固件升级）必须要求服务商提供 签字确认单扫描件，作为资产变更与合规审计的铁证。
四、责任划分：从「谁动手」到「谁决策」
原则：决策方承担业务风险，执行方承担操作瑕疵风险，环境方承担设施可用性风险。
- 客户（决策方）：对「拔哪根线、改哪个 BIOS 参数、重启哪台服务器」负责。指令错误导致业务中断，客户自担。
- 服务商（执行方）：对「手抖换错光模块、暴力拔线损坏端口、未按 Runbook 步骤操作」负责。需约定单次赔付上限（建议 ≤ 单次服务费 3 倍）并要求投保职业责任险。
- IDC（环境方）：对「机房断电、空调故障导致设备过热、门禁系统故障导致无法入场」负责。这部分通常已覆盖在机柜租用 SLA 中，不重复计入远程双手条款。
灰色地带示例：客户要求「重启服务器」，服务商长按电源键 10 秒强制断电导致文件系统损坏。判定逻辑：若 Runbook 写明「优先 OS 软关机，失效再硬关机」，服务商违规；若 Runbook 无此步骤，双方共同补全流程，不追究历史责任。
可操作检查清单（采购/验收/日常）
- [采购] 要求服务商提供
Standard Remote Hands Catalog（含动作定义、单价、SLA 响应时间），拒绝「按工时报价」的一篮子报价单。 - [采购] 合同附件增加
Non-Standard Approval Matrix：风险等级（低/中/高）对应审批人、是否需视频旁路、是否需现场见证。 - [验收] 模拟 3 个场景测试：标准换光模块（验时效）、非标 BIOS 修改（验审批流）、紧急断电重启（验升级联系人）。记录全程录像回放质量。
- [日常] 每季度抽查 10% 工单，核对「工单指令—现场录像—设备日志」三源一致性，发现缺帧、缺签名、缺日志立即整改。
- [日常] 每半年演练一次「远程双手不可用」预案：模拟服务商人员缺编、机房封控、OOB 网络中断，验证自有运维应急入场流程。
本文由 南方数据技术博客编辑整理，涉及具体环境时请以官方文档与实际配置为准。