术语表
Kibotos 文档里常用术语的简短定义，按英文名的字母顺序排列。每条都链接到完整介绍它的页面。在站点上，把鼠标停在指向某个条目的链接上，就会显示它的定义。
annotation
调用方保存在 Workspace、Volume 等对象上的键值对。Kibotos 只保存 annotation；要筛选列表，用 label。见 labels 与 annotations。
幂等键（command ID）
调用方为每个写请求生成的稳定标识。用同一个幂等键重发请求，操作不会执行两次。见写操作的约定。
context
kibo 在本机保存 ctrl 地址、Operator 身份与信任的 CA 的目录。kibo context enroll 创建它，之后的每条命令都读取它。见 context 目录。
控制面（control plane）
管理对象的路径：创建、查询、停止、删除 Workspace、Volume 等对象。请求发往 ctrl，用 Operator 身份认证。见控制面与数据面。
ctrl
Kibotos 集群的控制面服务。它接收控制面请求，决定每个 Workspace 运行在哪台宿主机上，并签发访问数据面用的会话凭证。见架构。
数据面（data plane）
在 Workspace 里工作的路径：文件、进程、终端与桌面。请求带着会话凭证，直接发往运行这个 Workspace 的 node。见控制面与数据面。
E2B 网关
kibotos-e2b 服务，把 E2B SDK 的请求翻译成原生 API，让为 E2B 写的程序可以使用 Kibotos。见E2B 兼容。
Egress
调用方运营的 SOCKS5 出口代理。Workspace 的网络策略引用它之后，发往指定网段的 TCP 连接从调用方的网络离开。见 Egress。
注册密钥（enrollment key）
一次性、有有效期的密钥文件。Operator 或 node 用它换取自己的身份。见 身份与注册。
版本校验（expected revision）
写请求附带的对象期望版本。如果别人先改了这个对象，请求会被拒绝，不会覆盖别人的修改。见写操作的约定。
Exposure
把 Workspace 里的一个 HTTP 端口变成公开 https:// 地址的对象。见公开 URL。
Exposure 网关
接收公开 URL 的流量、转发到对应 Workspace 端口的服务。见安装 Exposure 网关。
执行代（generation）
Workspace 的一轮运行。每次启动成功都开始新的一代，从 1 起编号；上一代的凭证、进程与连接全部失效。见 Workspace。
guest
在 Workspace 的 MicroVM 里运行的 Linux 系统。其中的 guest agent 代 node 执行文件与进程操作。
启动序号（incarnation）
node 进程一次运行的编号。node 每次启动都让它递增，ctrl 拒绝带着已被 isolate 或更早的启动序号的连接。见 isolate。
Instance
在 node 上运行某个 Workspace 的 MicroVM。每次启动都会创建一个新的 Instance，带有自己的 ID，宿主机上的目录、进程参数与日志都带着这个 ID。见 Workspace 在哪台 node 上。
label
调用方附在 Workspace、Volume 等对象上的键值对，可以按 label 筛选列表。见 labels 与 annotations。
Launch
一个 Template revision 与一个 Platform revision 的组合，Workspace 从它启动。每个 Workspace 绑定一个 Launch，artifact 回收会保留未删除的 Workspace 绑定的每个 Launch。见哪些对象会被回收。
网络策略（network policy）
决定 Workspace 的出站流量能去哪里的规则：mode、目的地规则，以及引用的 Egress 或 Resolver。新的 Workspace 默认不能访问网络。见网络策略。
node
运行在每台宿主机上的服务。它启动、停止 Workspace 的 MicroVM，并提供数据面服务。见架构。
Operator
持有 Operator 身份的人或程序。Operator 可以操作部署中的所有 Workspace，并用 kibo 管理集群。见 身份与注册。
Platform
Workspace 启动时用的内核、initramfs 与 guest 程序。ctrl 创建 Workspace 时，把 Template 与一个兼容的 Platform 组合起来。见 目录。
PlatformKey
标识一条 Platform revision 序列的五项属性：后端、架构、内核系列、guest 协议与 rootfs 契约。每个 PlatformKey 有自己的默认 revision。见 platform。
Resolver
调用方提供的 DNS 服务器。Workspace 的网络策略引用它之后，guest 的 DNS 查询发往它。见 Resolver。
保留的可写层（retained layer）
Operator 一侧对 Workspace 可写层的叫法：存储池里的一个块文件，与 Volume 一样计入池的用量。Operator 命令、存储池列表与指标都用这个名字。见池里的对象。
revision
Template 或 Platform 的不可变版本。每次发布都产生一个新的 revision，部署方为每个 Template 选定默认 revision。见 Template 与 revision。
会话凭证（session credential）
访问数据面用的短期凭证。向 ctrl 申请，同时得到运行这个 Workspace 的 node 的地址。见对调用方的影响。
存储池（storage pool）
部署中存放 Volume 与可写层的存储。Workspace 只会在能访问它所用存储池的宿主机上启动。见存储池。
Template
创建 Workspace 用的系统镜像，例如最小系统、编程工具链或桌面环境。见 Template 与 revision。
Transfer
把已停止 Workspace 的 Volume 导出成归档。归档可以导入为新的 Volume，再恢复成新的 Workspace。见导出、导入与恢复。
使用权（use right）
打开 Volume 或保留的可写层的块文件的权利，ctrl 同一时刻只把它授予一个 node。没有使用权的 node 不打开这个文件，因此共享存储上的同一个对象不会被两台宿主机同时写入。见独立池与共享池。
Volume
独立于任何 Workspace 存在的持久卷。一个 Workspace 最多绑定一个 Volume，默认挂载在 /data。见 Volume。
Workspace
给 AI Agent 用的完整 Linux 环境，运行在独立的 MicroVM 里。Agent 在里面读写文件、运行进程、启动服务，不会影响宿主机和其他 Workspace。见核心概念。
可写层（writable layer）
Workspace 根文件系统的可写部分，保存安装的软件包这类修改；Operator 的页面称它为保留的可写层。可写层尽力保留，只有 Volume 保证保留数据。见保证与边界。