配置参考

export TUNEPLANE_STORAGE_ROOT=/mnt/shared/tuneplane
export TUNEPLANE_WEB_JWT_SECRET=$(openssl rand -hex 32)

部署基础设施通过 .env、容器环境变量或 Kubernetes Secret 配置。业务策略和集成通过设置配置；后端连接归属各个 Fleet，周期任务归属计划任务。

配置	管理入口
PostgreSQL、Redis、JWT 签名密钥、设置加密密钥	仅环境变量
对外及任务侧 HTTP 地址、可信代理层数、进程角色、TLS 和网关地址	仅环境变量
存储挂载、服务端文件路径、runner 产物路径、部署共享目录	仅环境变量
S3 地址、Bucket、区域、签名版本和访问凭据	仅环境变量
OIDC、第三方登录、Hugging Face OAuth、Agent、Judge、通知	设置
配额、调度策略、重试、默认模型、预签名 URL 有效期	设置
Kubernetes、Slurm 和 Node Fleet 配置	Fleet
Agent 诊断开关及间隔、其他后台任务周期	计划任务

环境变量专属项不能通过设置 API 编辑；部分已有部署路径仍作为只读诊断信息显示。API、worker 和网关副本应使用一致的基础设施配置，修改后重启相关进程。使用 S3 的操作需要对象存储；纯共享文件系统部署仍受支持。设置在数据库中保存稀疏覆盖，密钥加密存储。已保存的值优先于环境变量基线。集成配置应优先使用设置页，避免在 .env 重复维护。标注需要重启的配置，包括 OIDC 和 Hugging Face OAuth，保存后需要重启进程。升级已有部署前，将原先保存在设置中的有效 S3 配置及其他环境变量专属项迁入部署环境。这些字段的旧数据库覆盖会被忽略。将集成密钥迁入设置时，保持 TUNEPLANE_SECRET_ENC_KEY 不变。

本页由 scripts/gen_settings_docs.py 从 server.core.config.WebSettings 生成，新增设置而没写说明会让 CI 失败。只要这个开关存在，它就在这一页上。

部署基础配置

其余都有可用的默认值，这五个没有。

path

一套部署只配这一个路径。它必须是绝对路径，而且在控制台、每个节点、每个容器里解析结果必须完全相同。留空表示单机开发。

string

不设置则每个进程随机生成，结果是重启即全员掉线，多副本部署直接不可用。除了单机开发之外，都要设一个固定的强随机值。

url

所有部署（包括本地开发）都必须配置 PostgreSQL 地址，不再回落到 SQLite。

url

用户访问这套部署的 https 地址。OIDC 的 redirect_uri 由它拼出，没有它单点登录无法工作。

怎么读下面的表

必填表示不配置就拒绝启动。
自动生成表示你不提供时会按进程派生一个值。
破折号表示默认值为空，而空通常意味着该功能关闭。

绝对路径在启动时校验：相对的 TUNEPLANE_STORAGE_ROOT 会被拒绝，而不是拿进程恰好启动的那个目录去解析。

核心

环境变量	类型	默认值	说明
`TUNEPLANE_CACHE_TTL`	`float`	`5.0`	进程内缓存的保留时长，超过后重新读取。
`TUNEPLANE_COOKIE_SECURE`	`bool	None`	—	会话 Cookie 是否带 Secure 标志。不设置时跟随 public_url 是否为 https；本机用 http 调试时设为 false。
`TUNEPLANE_DB_URL`	`str	None`	—	每个控制平面进程都必须配置 PostgreSQL 地址，格式为 postgresql+psycopg://user:password@host/database。不再支持本地数据库文件。
`TUNEPLANE_GITHUB_ALLOWED_ORGS`	`str`	—	逗号分隔的组织 login，只有这些组织的成员可以登录。留空表示任意 GitHub 账号都能在此建号。填了它会额外请求 `read:org` 授权；成员身份设为私密且未授权共享的用户会被拒绝。
`TUNEPLANE_GITHUB_CLIENT_ID`	`str`	—	GitHub OAuth App 的 Client ID。它和 Secret 都填好后，登录页立刻出现「使用 GitHub 登录」按钮，无需重启。回调地址填 `<对外地址>/api/auth/social/github/callback`。
`TUNEPLANE_GITHUB_CLIENT_SECRET`	`str`	—	GitHub OAuth App 的 Client Secret。加密落库，接口永不回显。
`TUNEPLANE_GOOGLE_ALLOWED_DOMAINS`	`str`	—	逗号分隔的邮箱域名，只有这些域名可以用 Google 登录。留空表示任意 Google 账号都能在此建号——如果控制台可从公网访问，那等同于开放注册。已验证的邮箱域名与 Workspace 的 `hd` 声明都算数。
`TUNEPLANE_GOOGLE_CLIENT_ID`	`str`	—	Google Cloud 控制台里的 OAuth Client ID。它和 Secret 都填好后，登录页立刻出现「使用 Google 登录」按钮，无需重启。重定向地址填 `<对外地址>/api/auth/social/google/callback`。
`TUNEPLANE_GOOGLE_CLIENT_SECRET`	`str`	—	Google Cloud 控制台里的 OAuth Client Secret。加密落库，接口永不回显。
`TUNEPLANE_GOOGLE_ONE_TAP`	`bool`	`false`	在登录页展示 Google One Tap 提示，用浏览器里已登录的账号一键登录。默认关闭，因为这个提示是不请自来的。需要先填好 Google 的 Client ID 与 Secret。
`TUNEPLANE_HOST`	`str`	`127.0.0.1`	控制台 HTTP 监听地址。CLI 的 —host 会覆盖它。
`TUNEPLANE_INGEST_URL`	`str	None`	—	训练进程回传日志和指标的地址。集群在远端时不要填 127.0.0.1——那是 worker 自己的回环。要填控制台在集群网络内可达的 URL。
`TUNEPLANE_JWT_HOURS`	`int`	`8`	access token 的有效期。
`TUNEPLANE_LDAP_ATTR_DISPLAY_NAME`	`str`	`displayName`	目录中存放显示名的属性。
`TUNEPLANE_LDAP_ATTR_EMAIL`	`str`	`mail`	目录中存放邮箱的属性，通常是 `mail`。
`TUNEPLANE_LDAP_ATTR_GROUPS`	`str`	—	目录中存放用户所属组的属性，通常是 `memberOf`，每次登录据此同步团队成员关系。把组映射成团队与「通过 LDAP 登录」是两项独立授权。
`TUNEPLANE_LDAP_ATTR_USERNAME`	`str`	`uid`	目录中作为登录名的属性，通常是 `uid` 或 `sAMAccountName`。
`TUNEPLANE_LDAP_BIND_DN`	`str`	—	用于在以用户身份 bind 之前先查找用户的只读账号。留空表示匿名查询。配置了直接 bind 模板时不需要它。
`TUNEPLANE_LDAP_BIND_PASSWORD`	`str`	—	上面那个服务账号的密码。
`TUNEPLANE_LDAP_ENABLED`	`bool`	`false`	普通登录表单是否同时用目录服务校验密码。本地账号永远先试，因此目录服务故障时初始管理员仍然能登录。
`TUNEPLANE_LDAP_INSECURE_SKIP_VERIFY`	`bool`	`false`	不校验目录服务的 TLS 证书。仅用于自签名证书的内网调试；生产环境绝对不要开启——它去掉的正是「对面确实是目录服务」这唯一的凭据。
`TUNEPLANE_LDAP_SERVER_URI`	`str`	—	一个或多个 LDAP 地址，逗号分隔并按顺序尝试，因此第二台域控就是故障转移。请使用 `ldaps://` 或开启 StartTLS：这是唯一会读取用户密码的登录方式，明文连接会让密码裸奔在网络上。
`TUNEPLANE_LDAP_START_TLS`	`bool`	`false`	在 bind 之前把明文连接升级为 TLS。`ldaps://` 从第一个字节就是 TLS，无需再开。
`TUNEPLANE_LDAP_TIMEOUT_S`	`float`	`5.0`	等待目录服务的时长。刻意设得很短：它发生在登录请求内部，目录服务卡住时代价应该是一次登录变慢，而不是拖住一个工作进程。
`TUNEPLANE_LDAP_USER_BASE_DN`	`str`	—	查找登录者的子树起点，例如 `ou=people,dc=example,dc=com`。
`TUNEPLANE_LDAP_USER_DN_TEMPLATE`	`str`	—	直接以该 DN 进行 bind，跳过搜索，例如 `uid={username},ou=people,dc=example,dc=com`。不需要服务账号，但也读不到任何属性——邮箱、显示名和组只有走搜索方式才能拿到。
`TUNEPLANE_LDAP_USER_FILTER`	`str`	`(uid={username})`	用来定位到唯一一个人的过滤器。`{username}` 会被替换并做转义。命中多于一条时直接拒绝而不是猜——猜的后果是把人登录成目录恰好先返回的那一条。
`TUNEPLANE_NO_AUTH`	`bool`	`false`	把所有请求都当成管理员，完全跳过认证。仅供开发；任何别人能访问到的部署都绝不能开。
`TUNEPLANE_OIDC_CLIENT_ID`	`str`	—	在身份提供方注册的 client id。
`TUNEPLANE_OIDC_CLIENT_SECRET`	`str`	—	在身份提供方注册的 client secret。
`TUNEPLANE_OIDC_DEFAULT_ROLE`	`str`	`operator`	SSO 新用户建号时给的角色。admin 不要填在这里——第一个管理员应当是有人明确授予的
`TUNEPLANE_OIDC_DISCOVERY_URL`	`str`	—	留空则按 issuer 拼 /.well-known/openid-configuration；Casdoor 的按应用分路径，需要显式填
`TUNEPLANE_OIDC_GROUP_CLAIM`	`str`	—	存放用户所属组的 claim，每次登录据此同步团队成员关系。留空（默认）表示平台完全不碰团队成员——手工维护团队的部署必须留空，否则下次登录会把所有人从团队里清出去。目录里有、平台上没有的组会被跳过，不会自动创建团队。
`TUNEPLANE_OIDC_GROUP_PREFIX`	`str`	—	每个组名在被当作团队 key 之前先去掉的前缀。目录常下发路径或 DN，而平台要的是一个 key。
`TUNEPLANE_OIDC_INSECURE_SKIP_VERIFY`	`bool`	`false`	跳过对身份提供方的 TLS 校验。仅用于调试内网自签证书；生产环境绝不能开。
`TUNEPLANE_OIDC_ISSUER`	`str`	—	OIDC issuer 地址，例如一个 Casdoor 应用。配置它即开启单点登录。
`TUNEPLANE_OIDC_SCOPE`	`str`	`openid profile email`	登录时请求的 scope。
`TUNEPLANE_PORT`	`int`	`8080`	控制台监听端口。CLI 的 —port 会覆盖它。
`TUNEPLANE_PUBLIC_URL`	`str	None`	—	用户和身份提供方访问这套部署的地址。OIDC 的 redirect_uri 由它拼出，所以团队部署必须填真实的 https 域名。
`TUNEPLANE_REDIS_PREFIX`	`str`	`lab`	key 命名空间，让多套环境能共用一个 Redis 而不互相干扰。
`TUNEPLANE_REDIS_URL`	`str	None`	—	Redis：共享缓存、分布式锁、限流、token 即时吊销。留空则四者全部关闭，控制台按单实例行为运行。
`TUNEPLANE_REFRESH_DAYS`	`int`	`30`	refresh token 的有效期。它只通过 httpOnly Cookie 下发，浏览器里的 JavaScript 读不到。
`TUNEPLANE_REPO_ROOT`	`Path`	自动生成	控制台读取实验定义与本地台账的项目根目录。默认取当前工作目录。
`TUNEPLANE_SAML_ATTR_DISPLAY_NAME`	`str`	`displayName`	断言中存放显示名的属性。
`TUNEPLANE_SAML_ATTR_EMAIL`	`str`	`email`	断言中存放邮箱的属性。匹配是宽松的：裸名称、SAML URN 和微软的 claim URI 都能识别。
`TUNEPLANE_SAML_ATTR_GROUPS`	`str`	—	断言中存放用户所属组的属性，每次登录据此同步团队成员关系。把组映射成团队与「通过 SAML 登录」是两项独立授权；留空表示平台完全不碰团队成员关系。
`TUNEPLANE_SAML_ATTR_USERNAME`	`str`	—	断言中存放登录名的属性。留空则回退到 NameID——这是最小配置的 IdP 唯一会发送的字段。
`TUNEPLANE_SAML_ENABLED`	`bool`	`false`	登录页是否提供 SAML 入口。企业版专属；还需要在下面描述身份提供方（IdP），否则按钮会指向一个不存在的地方，因此配置不全时不显示。
`TUNEPLANE_SAML_IDP_METADATA_URL`	`str`	—	控制台从这里拉取 IdP 元数据：entity id、单点登录端点与签名证书。会定期重新读取，因此 IdP 轮换证书时不需要重启。
`TUNEPLANE_SAML_IDP_METADATA_XML`	`str`	—	直接粘贴 IdP 的元数据文档。适用于隔离网络——用户浏览器能访问 IdP，但控制台不能。两者都填时以粘贴的为准。
`TUNEPLANE_SAML_SIGN_REQUESTS`	`bool`	`false`	对发往 IdP 的 AuthnRequest 签名。需要先配置上面的密钥对；默认关闭，因为多数 IdP 并不要求。
`TUNEPLANE_SAML_SP_CERTIFICATE`	`str`	—	与私钥配对的 PEM 证书，会发布在本控制台的 SP 元数据中，供 IdP 校验签名。
`TUNEPLANE_SAML_SP_ENTITY_ID`	`str`	—	本控制台向 IdP 表明身份时使用的名称。留空则由对外地址推导，既全局唯一，也正好是 IdP 可以抓取的元数据地址。
`TUNEPLANE_SAML_SP_PRIVATE_KEY`	`str`	—	PEM 格式私钥，用于对认证请求签名、以及解密加密断言。只有 IdP 要求时才需要，多数情况下不需要。
`TUNEPLANE_SAML_WANT_ASSERTIONS_SIGNED`	`bool`	`true`	拒绝未签名的断言。请保持开启：未签名的断言意味着任何能访问本控制台的人都能伪造登录。只有当 IdP 改为对响应报文整体签名时才关闭它，并同时开启下面那一项。
`TUNEPLANE_SAML_WANT_RESPONSE_SIGNED`	`bool`	`false`	拒绝响应报文本身未签名的 SAML 响应。默认关闭：签名断言更常见；若 IdP 只做其中一种，两项都要求会导致谁都登录不进来。
`TUNEPLANE_SERVE`	`bool`	`false`	绑定 0.0.0.0 而不是回环地址。团队部署或容器部署需要打开。
`TUNEPLANE_STATIC_DIR`	`Path	None`	—	控制台前端构建产物（apps/console/dist）所在目录。服务端 wheel 里已经带了，通常不用改。
`TUNEPLANE_TRUSTED_PROXY_HOPS`	`int`	`1`	控制台前面有几层反向代理。它决定 `X-Forwarded-For` 里哪一段被当作调用方地址——从右往左数，因为每层代理都会把它看到的对端追加到末尾，所以最左边那段是客户端自己填的。限流和审计日志的 `ip` 列都读它。控制台直接暴露时设为 0，表示完全忽略该头。
`TUNEPLANE_WEB_JWT_SECRET`	`str`	自动生成	access token 的签名密钥。不配置则每个进程随机生成——单机可以，多副本不行：两个副本用不同密钥签名，重启就是全员掉线。

代理提交

环境变量	类型	默认值	说明
`TUNEPLANE_AUDIT_RETENTION_DAYS`	`int`	`0`	0 表示永久保留。清理不会破坏防篡改哈希链：每次清理都会留下一条说明删了哪个区间的记录，校验接口据此认可这段缺口，而这类说明记录本身永不删除。保留期执法属企业版
`TUNEPLANE_AUDIT_RETENTION_INTERVAL_S`	`float`	`86400.0`	审计保留期清理任务的执行间隔。
`TUNEPLANE_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_CLUSTER_PROFILE`	`str`	—	转发给作业的 CLUSTER_PROFILE 默认值。客户端指定的 profile 只作记录，不覆盖它。
`TUNEPLANE_CLUSTER_SECRETS_FILE`	`str`	—	容器内密钥文件的路径。配置后只转发路径，密钥内容不会进入 Ray dashboard。
`TUNEPLANE_DATASET_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_DATA_SCAN_ALLOW_TERMS`	`str`	—	逗号分隔的误报白名单，命中这些词的结果会被忽略。
`TUNEPLANE_DATA_SCAN_DENY_TERMS`	`str`	—	本部署额外视为敏感的词，逗号分隔，叠加在内置规则之上。只能填词，不能填正则—— 在设置框里粘一段正则，就等于让一次配置改动把后台任务挂死。
`TUNEPLANE_DATA_SCAN_POLICY`	`str`	`report`	数据集里发现敏感值时平台怎么做。`off` 不扫描；`report` 扫描、记录、在数据集页展示，但照常放行；`block` 拒绝引用了高置信命中数据的提交。拦截只看置信度，不看是否有命中 ——低置信规则会打中代码语料里的每一段 base64 和每个 git SHA。
`TUNEPLANE_DB_MAX_OVERFLOW`	`int`	`10`	突发时连接池可以在 `db_pool_size` 之外临时多开的连接数。
`TUNEPLANE_DB_POOL_RECYCLE_S`	`int`	`1800`	连接在池中存活多少秒后回收重建。要设得比代理或 Postgres 的空闲超时更短，让陈旧连接被替换掉，而不是等某个查询失败才发现。
`TUNEPLANE_DB_POOL_SIZE`	`int`	`5`	与数据库保持的常驻连接数。按进程分别设置——API 容器要的是「多、短」，worker 容器要的是「少、长」。
`TUNEPLANE_DB_POOL_TIMEOUT_S`	`float`	`30.0`	一个请求最多等多久才能拿到空闲连接，超时即失败。API 侧刻意设短——排在后台扫描后面，会把一个慢作业变成一个慢控制台。
`TUNEPLANE_GOVERNANCE_OCR_ENGINE`	`str`	`rapidocr-v6`	治理图像 Worker 使用的 OCR 引擎名称。留空表示不做 OCR，即不提取图像文本，要求 OCR 检查的策略会把每张图像判为未覆盖。`rapidocr` 是内置的本地引擎（服务端包的 `ocr` extra；ONNX 模型随包分发，CPU 推理，不联网）。Worker 会记录运行时实际使用的模型与运行时摘要。
`TUNEPLANE_GOVERNANCE_RECONCILE_INTERVAL_S`	`float`	`900.0`	治理协调任务的执行间隔：某个范围的规则变更后，用各过期报告自身的映射重新检查其源版本。0 表示禁用。
`TUNEPLANE_GOVERNANCE_RETENTION_INTERVAL_S`	`float`	`86400.0`	治理暂存数据保留期清理任务的执行间隔。
`TUNEPLANE_GOVERNANCE_STAGING_RETENTION_DAYS`	`int`	`0`	治理执行结束后多少天删除其尝试暂存数据（暂存的发现、指纹、资产行、OCR 位置、处置后与隔离的输出）。归约结果和报告是准入所读取的证据，永远不会被清理。0（默认）表示永久保留。从未发布的处置在被清理后会失去其输出，请在截止前发布。
`TUNEPLANE_GOVERNANCE_WORKER_CPUS`	`int`	`2`	一个治理 Worker 作业在单台主机上申请的 CPU 核数。走与任何 CPU 作业相同的主机预算准入；Worker 始终不占用 GPU。
`TUNEPLANE_GOVERNANCE_WORKER_IMAGE`	`str`	—	唯一获准运行治理扫描 Worker 的容器镜像，以摘要固定：`registry/name@sha256:<64 位十六进制>`。留空表示不能启动任何 Worker。工作计划会冻结它编写时的摘要，控制器拒绝提交镜像摘要不同的 Worker，所以改这个设置不会把已按旧制品限定范围的执行重新贴上标签。该镜像的仓库也必须在镜像允许列表里。
`TUNEPLANE_GOVERNANCE_WORKER_MEMORY_GB`	`int`	`4`	一个治理 Worker 作业在单台主机上申请的内存（GiB）。
`TUNEPLANE_HF_DATASETS_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_HF_HUB_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_HUB_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_INGEST_TOKEN_DAYS`	`int`	`30`	作业 ingest token 的有效期。它必须长于你预期的最长训练时长，否则长作业跑到一半就再也报不上来了。
`TUNEPLANE_JOB_HISTORY_RETENTION_DAYS`	`int`	`400`	已结束运行的状态历史保留多少天；0 表示永久保留。状态历史用来区分任务是在平台队列里等，还是在等后端把它拉起来。一次运行的历史要么整段删除、要么不动，运行未结束时绝不删除，所以被清理过的运行会显示为「未记录」，而不是「等得更短」。运行的算力消耗记在作业行上，不受影响。
`TUNEPLANE_JOB_RUNNER_MODE`	`str`	`bundled`	平台运行时如何进入作业。`bundled` 注入一个内容寻址的 PEX，训练镜像不需要预装任何东西。`image-installed` 要求镜像里已装 tuneplane，只作为迁移回滚保留——两者之间绝不会自动回退。
`TUNEPLANE_JOB_RUNNER_PATH`	`str`	—	bundled 模式下 runner PEX 的读取位置。留空表示 <repo_root>/dist/tuneplane-runner.pex。
`TUNEPLANE_JOB_RUNNER_PYTHON`	`str`	—	runner 使用的解释器的部署级覆盖。留空则使用运行时产物自己声明的。
`TUNEPLANE_JOB_RUNNER_REQUIRES_PYTHON`	`str`	`>=3.10,<3.14`	bundled runner 支持的 Python 版本范围。训练镜像不在范围内会被直接拒绝，而不是留到后面才失败。
`TUNEPLANE_LAUNCH_ADOPT_WINDOW_S`	`float`	`900.0`	一个作业行最多可以多久不认领为它投放出去的工作负载；超过之后该工作负载被判为孤儿并回收。它给「等待认领」设了上界——出队循环一个 tick 内就会用同一个句柄重投。
`TUNEPLANE_LAUNCH_RECLAIM_GRACE_S`	`float`	`30.0`	投放回收记录在第一次检查前等待多久。设得足够长，让正常投放已经完成提升并撤销这条记录，于是常见路径根本不会走到 handler。
`TUNEPLANE_LICENSE_FILE`	`str`	—	改用文件存放授权串。授权是几百字节，没人想把它写进 Helm values 或留在 shell 历史里，而 Kubernetes 更习惯把密钥挂成文件。两者都配时 `license_key` 优先。
`TUNEPLANE_LICENSE_KEY`	`str`	—	商业授权串（厂商签发的签名文档）。留空即社区版——那是受支持的配置而不是降级形态，其中的一切都可用且不会改变。离线校验，永不回连厂商。可在管理台直接粘贴，下一个请求即生效、无需重启——因为授权是按请求校验而不是在挂载时校验的。
`TUNEPLANE_MAX_UPLOAD_MB`	`int`	`1024`	提交的作业包压缩后的大小上限。解压后的上限是它的 50 倍，用来挡压缩炸弹。
`TUNEPLANE_MODELSCOPE_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_NEMO_RL_DIR`	`str`	—	提交 nemo-rl 作业必需，转发为作业的 NEMO_RL_DIR。这是镜像里的路径，不是宿主机也不是 CLI 项目目录
`TUNEPLANE_OUTBOX_BATCH_SIZE`	`int`	`32`	每轮投递多少条终态动作。有上限，因为其中一条会提交作业、另一条会写数据集版本，一轮并不便宜。
`TUNEPLANE_OUTBOX_POLL_INTERVAL_S`	`float`	`5.0`	outbox worker 投递「作业结束后欠下的动作」的间隔。要设得短——用户那条「作业已完成」的站内信现在在它后面。
`TUNEPLANE_OUTBOX_RETENTION_DAYS`	`int`	`7`	已投递的动作保留多少天。够回答「昨晚那次发布到底跑了没有」，又不至于变成第二份作业历史。
`TUNEPLANE_PACKAGES_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_PASSTHROUGH_ENV`	`dict`	自动生成	透传进每个作业的非密钥环境变量，例如 HF 镜像地址。
`TUNEPLANE_PIPELINE_STALL_GRACE_MINUTES`	`int`	`15`	一次提交的最后一个作业结束后，平台还可以在多久之内发起它的下一步。窗口之内，声明了却还没出现的步骤按「还在路上」显示；超过之后，作业列表就把这次提交标为停滞。如果集群排队常常让链上作业等得比这更久，把它调大。
`TUNEPLANE_QUEUE_POLL_INTERVAL`	`float`	`5.0`	出队循环检查队列的间隔。
`TUNEPLANE_QUOTA_ENFORCE`	`bool`	`true`	软配额是否真的拦截准入。关掉之后只记录用量，不拒绝任何提交。
`TUNEPLANE_REFLOW_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_RUNS_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_SERVER_SECRETS_FILE`	`str`	—	服务端的 KEY=VALUE 密钥文件；没用 cluster_secrets_file 时由它注入作业。
`TUNEPLANE_STATE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_STOP_CONFIRM_WAIT_S`	`float`	`15.0`	一次用户发起的暂停，最多花多久反复问后端「工作负载真的停了吗」。PAUSED 不占 GPU 配额，所以在 Pod 还在终止的过程中就写下它，等于把还没释放的卡交给下一次准入。停止本身就是同步的后端根本不会等；这个值是给那些只回答「已受理」的后端的（Slurm、Kubernetes）。
`TUNEPLANE_STORAGE_ROOT`	`str`	—	一套部署只配这一个路径。平台写的一切都由它派生：缓存、run 目录、作业包和控制平面状态。前提约束是这个路径在控制台、每个节点、每个容器里都完全一致——共享文件系统或同路径 bind mount 都能满足。留空表示单机开发，回落到 ./.tuneplane-data/storage。
`TUNEPLANE_SUBMIT_DRY_RUN`	`bool`	`false`	只装配 runtime environment，不真的向 Ray 提交。调试用。
`TUNEPLANE_VOLUME_CACHE_ROOT`	`str`	—	Absolute directory override; empty derives from the storage layout. Provision and mount it before startup; changing this setting does not migrate existing files.
`TUNEPLANE_VOLUME_IMPORT_STALE_AFTER_S`	`int`	`600`	一个卷导入在多久没有上报进度之后，可以被另一个 worker 接管。这不是锁超时：worker 是在复制过程中写入进度的，所以它衡量的是”工作是否真的在进行”，而不是”某个进程是否还持有租约”。只有当一批文件确实需要比这更长的时间时，才需要调大它。
`TUNEPLANE_VOLUME_ROOT`	`str`	—	受治理的 Volume 根目录——作业可读的资料，与训练数据不同。必须位于存储根之外，启动时校验：存储根是以可写方式挂进作业容器的， Volume 若在其下就会多出一条可写路径，只读挂载形同虚设。把 JuiceFS 挂在这里、并把 S3 配置指向它的网关，同一份内容就同时有对象接口和文件系统两张面。留空表示这套部署不支持 Volume。
`TUNEPLANE_VOLUME_SIZE_SCAN_INTERVAL_S`	`int`	`600`	多久列举一次各个卷以统计容量。卷是可变的，所以没有”肯定没变”可以跳过；让这件事仍然划算的是一次列举可以返回上千个 key。外部卷的间隔比这长得多，因为测量别人的桶，开销落在他们身上。
`TUNEPLANE_WORKER_CONCURRENCY`	`int`	`4`	一个 worker 进程同时执行多少个 outbox 动作。每个槽位认领一个动作并跑完，所以这是每进程同时在途的交付数而不是速率：调大它要付出连接和内存的代价，队列空的时候则毫无作用。
`TUNEPLANE_WORKER_IO_CONCURRENCY`	`int`	`4`	对”正在等别人网络”的已认领动作数设上限 —— 后端、对象存储、webhook 都算。和 worker_concurrency 分开，是因为”把远端打满”和”把自己打满”是两条不同的限制。
`TUNEPLANE_WORKER_LEASE_S`	`float`	`60`	一个已认领的动作认领多久有效。worker 在执行中挂掉会让这行一直处于被租用状态；租约到期才是另一个 worker 能重试它的原因。设短一点崩溃恢复更快，但慢动作有可能在还在跑的时候被接管。
`TUNEPLANE_WORKER_LLM_CONCURRENCY`	`int`	`4`	对调用大模型的动作单独设的同类上限。之所以单列，是因为模型端点有自己的限流，一旦被诊断类工作吃满，其它各类交付都会排在它后面。
`TUNEPLANE_WORKER_SHUTDOWN_S`	`float`	`25`	worker 停机时，等在途动作自己跑完多久才取消它们。被取消的不会丢 —— 租约到期后会被另一个 worker 接手 —— 所以这是在”停机慢一点”和”重做已经做了一半的活”之间取舍。

失败自动重试

环境变量	类型	默认值	说明
`TUNEPLANE_AUTO_RETRY_DELAY_S`	`float`	`60.0`	失败后等多久再重投，给瞬时故障留出恢复时间。
`TUNEPLANE_AUTO_RETRY_ENABLED`	`bool`	`false`	FAILED 训练作业自动置回队列、同 run_id 重投（NeMo-RL 自动从最新 checkpoint 续训）
`TUNEPLANE_AUTO_RETRY_MAX`	`int`	`1`	每个作业的自动重试次数。作业可以用自己的 max_retries 覆盖。
`TUNEPLANE_AUTO_RETRY_ON`	`str`	`started`	重试哪一类失败。`started` 只重试跑到过 RUNNING 的作业——配置或环境类错误通常在那之前就挂了，重试也是白重试。`all` 则任何失败都重试。

LLM 裁判

环境变量	类型	默认值	说明
`TUNEPLANE_JUDGE_CACHE_ENABLED`	`bool`	`true`	缓存确定性打分（temperature ≤ 0）的结果，同一个 prompt 不用付两次钱。
`TUNEPLANE_JUDGE_ENABLED`	`bool`	`false`	训练作业自动注入 TUNEPLANE_JOB_JUDGE_ENDPOINT/TOKEN；训练侧 reward 经平台代理调裁判模型，凭据与审计都在平台侧
`TUNEPLANE_JUDGE_LLM_API_KEY`	`str`	—	裁判上游的 API key。留空则复用 agent_llm_api_key。
`TUNEPLANE_JUDGE_LLM_BASE_URL`	`str`	—	裁判调用的 OpenAI 兼容上游。留空则复用诊断 Agent 的 LLM 配置。
`TUNEPLANE_JUDGE_LLM_MODEL`	`str`	—	裁判用来打分的模型。留空则复用 agent_llm_model。
`TUNEPLANE_JUDGE_LLM_TIMEOUT`	`float`	`60.0`	单次裁判调用的请求超时。

Agent 沙箱

环境变量	类型	默认值	说明
`TUNEPLANE_ENVIRONMENT_ALLOWED_HOSTS`	`str`	—	作业为 `openenv-remote` 环境可以访问的主机，逗号分隔。留空表示一个都不允许，这是有意的：训练容器通常在内网里畅通无阻，如果 manifest 写什么主机就允许什么，环境引用就变成了别人写的出网通道。
`TUNEPLANE_ENVIRONMENT_HEALTH_ENABLED`	`bool`	`true`	控制平面是否定期询问每个已注册环境是否仍在应答。它不拒绝任何提交——结果只是环境页上的一个标签，永远不参与准入判断，因为一条不稳定的链路不应该变成一次故障。它要解决的问题是：固定地址注册的环境只在封版那一刻被探测过一次，所以控制台能列出环境，却说不出哪些是作业真的连得上的。
`TUNEPLANE_ENVIRONMENT_HEALTH_INTERVAL_S`	`int`	`60`	两次健康巡检之间的秒数。一分钟远快于环境主机上下线的频率，而一次巡检对每个环境只发一个健康请求，预算五秒。
`TUNEPLANE_ENVIRONMENT_SELF_REGISTRATION`	`bool`	`false`	环境能否通过「证明那个地址上确实有服务在应答」来给自己的主机授权。默认关闭，因为打开它意味着把出网判断从「管理员点名了这台主机」换成「封版时这个地址上有一个 OpenEnv 服务应答过，而且我们记下了是谁申请的」——对主机的保证更弱，对审计链的保证强得多。
`TUNEPLANE_REFLOW_ENABLED`	`bool`	`true`	Reflow 后台任务是否运行。默认开启，但在部署把采样率设成大于零之前它什么都不做——采集是按部署开启的，从不全局开启。
`TUNEPLANE_REFLOW_FLUSH_INTERVAL_S`	`int`	`60`	捕获的流量从内存刷入缓冲区的间隔。
`TUNEPLANE_SANDBOX_CPUS`	`str`	`1`	单个沙箱容器的 CPU 上限。
`TUNEPLANE_SANDBOX_ENDPOINT`	`str`	—	实现 POST /execute 的外部执行服务。原生 E2B 需要适配器，不能直接填写 E2B API 地址；留空时是否可运行取决于内置沙箱配置及环境隔离要求。
`TUNEPLANE_SANDBOX_IMAGE`	`str`	—	平台自带代码沙箱使用的镜像。不配置就不启用——运行模型生成的代码不该默认开启，而且也没有一个可以猜的镜像。
`TUNEPLANE_SANDBOX_MAX_CONCURRENCY`	`int`	`8`	同时可运行的沙箱数量上限。
`TUNEPLANE_SANDBOX_MEMORY`	`str`	`512m`	单个沙箱容器的内存上限。
`TUNEPLANE_SANDBOX_TIMEOUT_S`	`float`	`30.0`	单次沙箱执行的墙钟时间上限。
`TUNEPLANE_SANDBOX_TOKEN`	`str`	—	访问该外部沙箱服务的 Bearer token。
`TUNEPLANE_SANDBOX_USER`	`str`	`65534:65534`	沙箱进程运行时的用户。默认是非 root；只有镜像需要另一个非特权账号时才改。

Playground

环境变量	类型	默认值	说明
`TUNEPLANE_PLAYGROUND_ENABLED`	`bool`	`false`	在 Node 或 Kubernetes Fleet 上启动 vLLM 服务，在 Playground 中试用训练产物。
`TUNEPLANE_PLAYGROUND_IMAGE`	`str`	—	如 docker.io/vllm/vllm-openai:v0.11.0@sha256:…；不 pin 不放行
`TUNEPLANE_PLAYGROUND_LOG_PULL_INTERVAL_S`	`float`	`5.0`	平台多久去推理容器里拉一次输出。推理容器不带 SDK、不会主动上报，所以关掉这一项后，会话的日志页只有结束后才有内容——而模型加载那几分钟恰恰是唯一有人盯着的时候。0 表示关闭。
`TUNEPLANE_PLAYGROUND_MAX_GPUS`	`int`	`4`	单个 Playground 会话的 GPU 数量上限。
`TUNEPLANE_PLAYGROUND_PORT_MAX`	`int`	`18099`	与长期部署的端口范围不可重叠——重叠时一个临时会话能占掉稳定端点的端口
`TUNEPLANE_PLAYGROUND_PORT_MIN`	`int`	`18000`	Playground 会话占用的宿主机端口范围下界，每个会话占一个。
`TUNEPLANE_PLAYGROUND_TTL_S`	`float`	`3600.0`	空闲会话存活多久后自动停止并释放 GPU。

模型部署

环境变量	类型	默认值	说明
`TUNEPLANE_ALLOWED_IMAGE_REGISTRIES`	`str`	—	用户用 `tp submit --image` 时允许的仓库主机，逗号分隔、精确匹配。留空时一等框架的镜像覆盖不受限，但自定义镜像完全关闭；生产部署应当显式配置。
`TUNEPLANE_DEPLOYMENT_ALLOW_TRUST_REMOTE_CODE`	`bool`	`false`	部署能否加载会执行其仓库内代码的模型。默认关闭，因为那等于运行模型作者写的代码。
`TUNEPLANE_DEPLOYMENT_HEALTH_TIMEOUT_S`	`float`	`10.0`	对服务中的 revision 做一次健康探测的超时。
`TUNEPLANE_DEPLOYMENT_MAX_CONCURRENT_REQUESTS`	`int`	`0`	一个部署最多允许多少个推理请求同时经控制台在途，0 表示不限。这是背压而不是配额——引擎打满之后再开更多连接也不会更快，而一个可重试的拒绝好过一个把在途请求一起拖慢的队列。
`TUNEPLANE_DEPLOYMENT_MAX_GPUS`	`int`	`8`	单个部署 revision 的 GPU 数量上限。
`TUNEPLANE_DEPLOYMENT_PORT_MAX`	`int`	`18299`	该端口范围的上界。
`TUNEPLANE_DEPLOYMENT_PORT_MIN`	`int`	`18100`	模型部署占用的宿主机端口范围下界。
`TUNEPLANE_DEPLOYMENT_READINESS_TIMEOUT_S`	`float`	`900.0`	新 revision 变为 ready 的时间上限，超时判定为失败。大模型冷加载需要这个余量。
`TUNEPLANE_DEPLOYMENT_SGLANG_IMAGE`	`str`	—	SGLang 部署使用的服务镜像。必须 digest 固定。
`TUNEPLANE_DEPLOYMENT_SHARED_ROOTS`	`str`	—	逗号分隔绝对路径；shared_path 模型只能位于这些目录或平台数据/产物根
`TUNEPLANE_DEPLOYMENT_VLLM_IMAGE`	`str`	—	如 docker.io/vllm/vllm-openai:v0.11.0@sha256:…；不 pin 不放行
`TUNEPLANE_GATEWAY_TLS_AUTO_GENERATE`	`bool`	`true`	配置网关地址且未指定外部信任文件时，启动自动生成有效期 3650 天的网关自签证书，加密保存到 PostgreSQL。所有副本须共用 TUNEPLANE_SECRET_ENC_KEY，重启复用；使用外部签发证书时关闭。
`TUNEPLANE_GATEWAY_TLS_DIR`	`str`	—	网关 TLS 私有持久化目录，必须位于作业存储之外。留空使用 <repo_root>/.tuneplane-data/gateway-tls。每个副本从 PostgreSQL 恢复同一身份到各自目录，完整证书保存于 current/ 下。
`TUNEPLANE_IMAGE_EVALKIT`	`str`	—	跑基准评测的作业用这张镜像。它和训练镜像不同，没有公开的上游镜像，每个部署都要自己构建（`./deploy/docker/build-runtimes.sh evalkit --push`）。只有当镜像已登记在 TUNEPLANE_RUNTIME_REGISTRY_FILE 里时才留空 —— 两处都没有的话，`tp bench run` 和训练完自动评测的流水线都提交不出来。
`TUNEPLANE_IMAGE_MS_SWIFT`	`str`	—	未传 —image 时 ms-swift 的 Hugging Face Trainer 后端作业用这张（平台自建镜像，见 deploy/docker/Dockerfile.msswift）
`TUNEPLANE_IMAGE_MS_SWIFT_MEGATRON`	`str`	—	未传 —image 时 ms-swift 的 Megatron 后端作业用这张。单独一张是因为 Megatron-core 与 TransformerEngine 不在另一张里（见 deploy/docker/Dockerfile.msswift-megatron）
`TUNEPLANE_IMAGE_NEMO_RL`	`str`	—	未传 —image 时所有 nemo-rl 作业用这张。基于官方镜像加工后写这里即可，不必带 digest
`TUNEPLANE_IMAGE_OPENRLHF`	`str`	—	未传 —image 时所有 openrlhf 作业用这张（平台自建镜像，见 deploy/docker/Dockerfile.openrlhf）
`TUNEPLANE_IMAGE_PYTORCH`	`str`	—	原生 PyTorch 训练作业（`pytorch/*` 方法）用这张镜像。和其它训练运行时一样由部署侧构建（`./deploy/docker/build-runtimes.sh pytorch --push`），其中的 torch 版本必须与 recipe 钉住的一致，否则作业启动即被拒。只有当镜像已登记在 TUNEPLANE_RUNTIME_REGISTRY_FILE 里时才留空。
`TUNEPLANE_IMAGE_TRL`	`str`	—	未传 —image 时所有 trl 作业用这张
`TUNEPLANE_IMAGE_VERL`	`str`	—	未传 —image 时所有 verl 作业用这张
`TUNEPLANE_INPROCESS_WORKERS`	`bool`	`true`	后台角色（出队、诊断、看门狗、日报）是否在 web 进程内运行。关掉后改由独立进程承担（`python -m server.worker --role <name>`）：调用 LLM 的慢 tick 不再占着事件循环抬高 API 尾延迟，web 副本也变成纯无状态、可随意扩缩。默认开启，保证单容器部署行为不变。
`TUNEPLANE_MODEL_DEPLOYMENTS_ENABLED`	`bool`	`false`	与 Playground 临时会话分离；提供稳定内网端点、Revision、自愈与令牌
`TUNEPLANE_NODE_CAPSULE_OBJECT_PULL`	`bool`	`false`	通过已认证的对象读取授权交付 Node Capsule。需要对象存储和 Node 暂存磁盘预算，输出和缓存仍需共享挂载。
`TUNEPLANE_NODE_GATEWAY_TARGET`	`str`	—	加入节点时下发的 Node 控制网关 host:port；节点保存后自动使用，显式配置可覆盖。
`TUNEPLANE_NODE_GATEWAY_TRUST_BUNDLE`	`str`	—	API 可读取的 Node 网关公共 PEM CA 文件路径。加入时通过已验证的 HTTPS 下发公钥证书，不能配置私钥；留空且启用自动生成时使用持久化的自签证书，否则使用系统信任。
`TUNEPLANE_NODE_INDEX_URL`	`str`	—	生成的 `install.sh` 从哪个包索引取 tuneplane-node。留空表示 PyPI；内网部署应指向自己的镜像源——执行脚本的机器很可能没有公网出口。
`TUNEPLANE_NODE_SHM_SIZE`	`str`	`64g`	Node Fleet 容器的共享内存大小，例如 `64g`。CPU 和内存限制来自作业的资源池配置。
`TUNEPLANE_NODE_STATE_DIR`	`str`	`~/.tuneplane-node`	节点保存加入 Fleet 时拿到的身份与凭证的位置。刻意不放在存储根下——看不到共享挂载的节点也必须能说明自己是谁。
`TUNEPLANE_RUNTIME_REGISTRY_FILE`	`str`	—	部署级的 runtime_id → 执行工件映射。Slurm 下必填（需要 SIF 或 SQSH）。node 和 kubernetes 下可选，登记后会覆盖 catalog 里的镜像地址——内网自建镜像就是这样接进来的。
`TUNEPLANE_SLURM_RUNTIME_PROFILE`	`str`	—	Slurm 使用哪种容器运行时。必须显式选择；不做自动探测，也不在 profile 之间回退。
`TUNEPLANE_TELEMETRY_COLLECTOR_ARTIFACT`	`str`	—	原生采集器产物目录的绝对路径，包含 manifest.json 和 tuneplane-collector；分发凭据前验证摘要和文件大小。
`TUNEPLANE_TELEMETRY_DRAIN_SECONDS`	`int`	`30`	托管采集器关闭时排空遥测缓冲的最长等待秒数。
`TUNEPLANE_TELEMETRY_GATEWAY_TARGET`	`str`	—	原生采集器直接访问的遥测网关 TLS gRPC 地址，格式为主机:端口，与 Node 控制网关分离。
`TUNEPLANE_TELEMETRY_SPOOL_BYTES`	`int`	`268435456`	每个采集器持久遥测缓冲的字节预算；耗尽后执行背压并明确记录溢出。
`TUNEPLANE_TELEMETRY_SPOOL_ROOT`	`str`	—	每个执行主机上用于持久遥测缓冲的本地磁盘路径，由管理员配置；不能使用共享文件系统或 NFS。
`TUNEPLANE_TELEMETRY_TRUST_BUNDLE`	`str`	—	分发给托管采集器的遥测网关 PEM 信任证书包绝对路径；托管网关 TLS 自动提供，使用外部管理的证书时才需要手动设置。

Slurm 执行器

环境变量	类型	默认值	说明
`TUNEPLANE_LEASE_AUTHORITY_COMMAND`	`str`	—	`flexlm-observe` 执行的命令，会附加 `-f <工具名>` —— 通常是 `lmutil lmstat -a -c <端口@主机>`。只是观测：它报的是某一刻的情况，读数与实际签出之间，别人的工作站可能把最后一个席位拿走。
`TUNEPLANE_LEASE_AUTHORITY_KIND`	`str`	`none`	作业所用工具的许可证席位由谁掌握：`none`、`slurm` 或 `flexlm-observe`。平台自己不数席位 —— 在这里记一份数，就是替别人的授权再记一本账，而只要有人（而不是作业）签出过一次工具，两本账就对不上了。选 `slurm` 时由作业的 `--licenses` 行交给集群自己的调度器排队；选 `flexlm-observe` 时，一次读数能挡住二十个作业同时抢两个席位，但不保证其中任何一个拿得到。读不出结果时放行，而不是卡住队列。
`TUNEPLANE_SLURM_ACCOUNT`	`str`	—	作业计费所记的 account。
`TUNEPLANE_SLURM_CLUSTER_WAIT_TIMEOUT_S`	`int`	`1800`	等待分配内所有节点加入 Ray 集群的时间上限，超时即放弃。
`TUNEPLANE_SLURM_CPUS_PER_NODE`	`int`	`1`	每个节点申请的 CPU 数。
`TUNEPLANE_SLURM_JWT_FILE`	`str`	—	存放 slurmrestd 认证所用 JWT 的文件。
`TUNEPLANE_SLURM_PARTITION`	`str`	—	作业提交到哪个 partition。
`TUNEPLANE_SLURM_QOS`	`str`	—	作业申请的 QoS。
`TUNEPLANE_SLURM_RAY_PORT`	`int`	`1200`	分配内 Ray head 监听的端口。
`TUNEPLANE_SLURM_REST_API_VERSION`	`str`	`v0.0.45`	这套部署使用的 slurmrestd API 版本。
`TUNEPLANE_SLURM_REST_URL`	`str`	—	slurmrestd 的地址。控制平面固定走 REST，不提供 sbatch 或 SSH 回退。
`TUNEPLANE_SLURM_REST_USER`	`str`	—	控制平面向 slurmrestd 认证时使用的用户名。
`TUNEPLANE_SLURM_STORAGE_ROOT`	`str`	—	存储根在集群并行文件系统上的路径。留空表示与 storage_root 完全相同的绝对路径——这是常态。
`TUNEPLANE_SLURM_TIMEOUT`	`float`	`30.0`	单次 slurmrestd 请求的超时。
`TUNEPLANE_SLURM_TIME_LIMIT`	`str`	`24:00:00`	每次资源分配申请的墙钟时间上限。
`TUNEPLANE_SLURM_TLS_VERIFY`	`bool`	`true`	是否校验 slurmrestd 的 TLS 证书。调试之外都应保持开启。
`TUNEPLANE_SLURM_WORKER_PORT_MAX`	`int`	`2999`	该端口范围的上界。
`TUNEPLANE_SLURM_WORKER_PORT_MIN`	`int`	`2000`	Ray worker 使用的端口范围下界。

KubeRay 执行器

环境变量	类型	默认值	说明
`TUNEPLANE_DISK_WATERMARK_PCT`	`int`	`90`	存储根使用率达到此值后暂停所有人出队，保护在跑作业的 checkpoint 写入。0 = 关闭。与存储配额管的不是一回事：配额是「谁占得太多」，水位线是「盘要满了」
`TUNEPLANE_K8S_ADMISSION_QUEUE`	`str`	`tuneplane`	尚未撰写说明，见 `apps/control-plane/core/config.py`。
`TUNEPLANE_K8S_API_SERVER`	`str`	—	Kubernetes API server 地址。解析顺序是显式配置 → 集群内 ServiceAccount → 不可用。控制台通常就跑在集群里，所以一般留空。
`TUNEPLANE_K8S_CA_PATH`	`str`	—	校验 Kubernetes API server 所用的 CA 证书路径。
`TUNEPLANE_K8S_CPU_LIMIT`	`str`	—	训练 Pod 的 CPU 上限。留空表示不限，由节点容量决定。
`TUNEPLANE_K8S_ENVIRONMENT_CPU_LIMIT`	`str`	—	`openenv-image` 环境容器的 CPU 上限——它跟训练器跑在同一个 Pod 里。和作业自己的上限分开，因为两者约束的不是一回事：作业是正事，环境是负责应答回合的第三方代码。留空表示不限制，这也是已经按命名空间配额限流的集群上的默认状态。
`TUNEPLANE_K8S_ENVIRONMENT_MEMORY_LIMIT`	`str`	—	`openenv-image` 环境容器的内存上限。留空表示不限制。为什么和作业自己的上限分开，见上面的 CPU 上限。
`TUNEPLANE_K8S_GPU_NODE_LABEL`	`str`	`tuneplane/gpu-series`	标记 GPU 卡型的节点标签，Kubernetes 调度器据此原生地把作业放到正确的硬件上。
`TUNEPLANE_K8S_GPU_PASSTHROUGH`	`bool`	`true`	Pod 是否真的申请 nvidia.com/gpu。False 是仿真模式，给没有 GPU 的集群用（kind、OrbStack、CI）：Ray 的逻辑 num-gpus 照常工作，平台自己的闭环测试就能跑。
`TUNEPLANE_K8S_IMAGE_PULL_POLICY`	`str`	`IfNotPresent`	训练 Pod 的镜像拉取策略。
`TUNEPLANE_K8S_IMAGE_PULL_SECRET`	`str`	—	内网镜像仓库的拉取凭据。
`TUNEPLANE_K8S_INSECURE_SKIP_VERIFY`	`bool`	`false`	跳过对 Kubernetes API 的 TLS 校验。仅用于调试自签证书。
`TUNEPLANE_K8S_MEMORY_LIMIT`	`str`	—	训练 Pod 的内存上限。留空表示不限。
`TUNEPLANE_K8S_NAMESPACE`	`str`	—	创建训练资源的命名空间。留空则使用 ServiceAccount 所在的命名空间。
`TUNEPLANE_K8S_NCCL_SOCKET_IFNAME`	`str`	—	NCCL 走哪块网卡。多网卡机器上不指定的话 NCCL 会挑错网卡，表现为「训练能起来但慢得离谱」或者直接卡在 all-reduce，极难定位。常见值是 bond0、eth0、ib0。
`TUNEPLANE_K8S_SERVICE_ACCOUNT`	`str`	—	训练 Pod 使用的 ServiceAccount，用于它们自己需要访问集群资源的场景。
`TUNEPLANE_K8S_SHM_SIZE`	`str`	`64Gi`	训练 Pod 内 /dev/shm 的大小。Ray 的 object store 就在那里，而容器默认的 64MB 会让稍大一点的 batch 立刻 OOM。
`TUNEPLANE_K8S_STORAGE_MOUNT`	`str`	—	该 PVC 在 Pod 内的挂载路径。留空表示与 storage_root 相同的绝对路径，这样控制台和容器默认就一致。
`TUNEPLANE_K8S_STORAGE_PVC`	`str`	—	承载存储根的 PVC。没有它，每个作业都要重新下载几十 GB 的权重——在内网链路上这比训练本身还贵。
`TUNEPLANE_K8S_STORAGE_PVCS`	`dict[str, str]`	自动生成	JSON map from configured storage root override names to existing PVC names. Each claim starts at its configured directory; mount the same claims into the API and workers.
`TUNEPLANE_K8S_STORAGE_SHARED`	`bool`	`true`	该 PVC 是否能被同一作业的所有 Pod 同时读写。RWO 的 claim 不会让多节点作业直接失败——它给每个 Pod 各自一个卷，于是 checkpoint 分片散落在不同节点上，这次 run 再也续不了。这里声明的值会与实际 PVC 核对。
`TUNEPLANE_K8S_TIMEOUT`	`float`	`30.0`	单次 Kubernetes API 请求的超时。
`TUNEPLANE_K8S_TOKEN`	`str`	—	访问 Kubernetes API 的 Bearer token，不用集群内 ServiceAccount 时才需要。
`TUNEPLANE_K8S_VOLUME_PVC`	`str`	—	承载Volume根的第二个 PVC，只读挂载。留空表示这套部署在 KubeRay 上无法满足Volume引用，申请了Volume的作业会在准入时被拒。
`TUNEPLANE_KUBERAY_ACTIVE_DEADLINE_S`	`int`	`0`	运行中作业的墙钟上限，避免跑飞的作业无限占卡。0 表示不限。
`TUNEPLANE_KUBERAY_HEAD_MODE`	`str`	`colocated`	Ray head 是否同时充当第一个 GPU 计算节点。`colocated` 与 NeMo-RL 和 KubeRay 官方形态一致。专用的无 GPU head 会改变资源分配形状，不会被隐式切换。
`TUNEPLANE_KUBERAY_PRERUNNING_DEADLINE_S`	`int`	`1800`	作业迟迟跑不起来多久后判定失败。没有它的话，拉不到镜像或者没有满足 nodeSelector 的节点会让作业无限期 Pending，同时一直占着队列位置。0 表示不限。
`TUNEPLANE_KUBERAY_RAY_VERSION`	`str`	`2.55.1`	声明给 KubeRay 的 Ray 版本。它必须与训练镜像里的 Ray 一致。不一致的症状是「集群起来了但 worker 注册不上」，而唯一的线索是一行很容易被淹没的版本警告。
`TUNEPLANE_KUBERAY_SUBMISSION_MODE`	`str`	`K8sJobMode`	作业的提交模式。`K8sJobMode` 另起一个 submitter Pod；`SidecarMode` 把提交容器注进 head Pod，少一个 Pod、少一次调度，代价是不支持 submitterPodTemplate。
`TUNEPLANE_KUBERAY_TTL_SECONDS`	`int`	`600`	Kubernetes 垃圾回收的兜底。正常终态由平台在归档日志后立即清理；这个 TTL 只负责收拾控制平面没能删掉的残留。
`TUNEPLANE_REGISTRY_RECONCILE_INTERVAL_S`	`float`	`300.0`	多久从对象存储重建一次数据集和语料的投影。写路径已经直接 upsert，所以它是兜底；但它同时也是唯一能修复「绕过 API 改动过的条目」的机制。0 表示关闭。
`TUNEPLANE_STORAGE_SCAN_INTERVAL_S`	`float`	`600.0`	多久遍历一次存储根，统计每个用户的用量和平台总量。0 表示从不遍历，此时存储配额和看板卡片会显示「未统计」。大目录树上一次完整遍历要几分钟，所以它是后台角色而不是请求时现算。
`TUNEPLANE_TERMINAL_CLEANUP_GRACE_S`	`float`	`2.0`	收到 lifecycle 响应后再等多久才清理，让训练进程把最后的 stderr 写完。
`TUNEPLANE_TERMINAL_LOG_TAIL_LINES`	`int`	`5000`	训练侧来不及上报时，从容器、Pod 或 Slurm 归档里回捞的日志尾部行数。

对象存储

环境变量	类型	默认值	说明
`TUNEPLANE_ALLOWED_RECIPES`	`str`	—	这套部署开放哪些后训练方法，写成 `<framework>/<method>`，逗号分隔。留空表示 catalog 里的全部启用。catalog 说的是「平台支持哪些方法」，这里说的是「本部署对用户开放哪些」——显存不够跑蒸馏的集群在这里关掉它，而不是去改 catalog。
`TUNEPLANE_HWCONFIG_REFRESH_INTERVAL`	`float`	`15.0`	每个副本重新加载硬件 profile 配置的间隔。
`TUNEPLANE_RECIPE_STRICT_PARAMS`	`bool`	`true`	提交时是否拒绝 recipe 未声明的超参键。默认开启——一个被静默忽略的拼错的参数名，会让用户以为自己调了参。
`TUNEPLANE_S3_ACCESS_KEY`	`str`	—	该端点的 access key，只存在于服务端。
`TUNEPLANE_S3_BUCKET`	`str`	`tuneplane`	所有内容写入的 bucket。
`TUNEPLANE_S3_ENDPOINT`	`str`	—	作业包、产物、数据集和归档使用的 S3 兼容端点。凭据只留在服务端：客户端和作业侧一律只拿预签名 URL，限定单个方法、单个 key，并带过期时间。这样凭据不会进入 Ray dashboard、容器环境变量或作业日志，泄露一个 URL 的爆炸半径是「一个 key 加一段有效期」，而不是整个 bucket。不配置则对象存储关闭，全部回落到共享盘路径。
`TUNEPLANE_S3_JOB_PRESIGN_TTL`	`int`	`259200`	交给作业的预签名 URL 的有效期——代码包，或者 `--init-from` 的产物。它必须覆盖排队加拉取的全程：排几小时队是常态，而排队期间就过期的 URL 会让作业在第一步就失败。
`TUNEPLANE_S3_PRESIGN_TTL`	`int`	`3600`	普通预签名 URL 的有效期。
`TUNEPLANE_S3_REGION`	`str`	`us-east-1`	传给 S3 客户端的 region。
`TUNEPLANE_S3_SECRET_KEY`	`str`	—	该端点的 secret key，只存在于服务端。
`TUNEPLANE_S3_SIGNATURE_VERSION`	`str`	`s3v4`	签名版本。除非端点太老，否则保持 s3v4。
`TUNEPLANE_TIMEZONE`	`str`	`Asia/Shanghai`	本部署业务日历所用的 IANA 时区名。时段窗口、每日 GPU-时边界和账单月份都按它计算，因此必须全服务统一 —— 每人一个重置时刻的配额就不是配额了。它不是显示设置：控制台里的时间戳一律按读者浏览器所在时区渲染，少数由服务端拼好的整句会在句内标出本时区。

时段窗口

环境变量	类型	默认值	说明
`TUNEPLANE_ARGILLA_API_KEY`	`str`	—	该 Argilla 实例的 API key。
`TUNEPLANE_ARGILLA_URL`	`str`	—	人工偏好标注使用的 Argilla 实例。它的地址是部署级设置，信任级别与数据库、对象存储相同——内网部署里它本来就在私网上，所以不做 webhook 那套私网拦截。
`TUNEPLANE_ARGILLA_WORKSPACE`	`str`	`argilla`	创建标注数据集所用的 Argilla workspace。
`TUNEPLANE_CHECKPOINT_EVAL_ENABLED`	`bool`	`true`	Checkpoint 评测的部署级急停开关。单个训练在 `spec.evaluation.on_checkpoint` 里声明自己的策略；这个开关存在的理由是：它会在评测 Fleet 上持续消耗 GPU 时间，必须留一个不改任何人实验就能全局关掉它的地方。
`TUNEPLANE_CHECKPOINT_EVAL_INTERVAL_S`	`float`	`60.0`	调度循环的间隔秒数。循环只评测最新登记的 checkpoint，中间的会被跳过，所以它决定的是曲线的分辨率，而不是评测的总量。
`TUNEPLANE_FAIRSHARE_WINDOW_H`	`float`	`24.0`	公平调度回溯多长时间。太短，刚跑完大作业的人立刻又排到前面；太长，几周前的用量还在压着今天的人。
`TUNEPLANE_SCHEDULE_DISPATCH_MIN_REMAINING_S`	`float`	`1800.0`	窗口剩余时间少于这个值时不再放行作业。
`TUNEPLANE_SCHEDULE_ENFORCE`	`bool`	`false`	时段窗口是否真的拦截作业。关闭时只按配置展示，不拒绝任何东西。
`TUNEPLANE_SCHEDULE_STOP_GRACE_S`	`float`	`600.0`	窗口关闭后，强制停止运行中作业前的宽限时间。
`TUNEPLANE_SCHED_POLICY`	`str`	`priority-fifo`	出队排序策略。`priority-fifo` 是优先级降序加先到先得。`fair-share` 在同优先级内，让近期用得少的人排前面。单个团队感觉不到差别；多个团队共用一个集群时会很明显，因为先到先得允许一个人在额度内连提二十个作业把队列占满——那会立刻变成人际问题，并且被归咎于平台。
`TUNEPLANE_SCHED_PREEMPTION`	`bool`	`false`	让团队配额从「上限」变成「保底」。集群有空时团队可超额运行，超出部分在别的团队低于其保底额度并排队时被回收——暂停并自动从最近 checkpoint 续跑。默认关闭，此时团队配额是硬上限，什么都不会被回收。借用与回收是同一个开关：只借不收会让一个团队无限期占住集群。
`TUNEPLANE_SCHED_PREEMPT_MIN_RUNTIME_S`	`float`	`600.0`	作业启动后多久才可能被回收。没有这个下限，繁忙队列会回收一个、放行一个、再回收一个，集群一天都在写 checkpoint。
`TUNEPLANE_SCHED_RESERVE_AFTER_S`	`float`	`900.0`	作业因容量不足被拒多久之后，调度器开始为它预留卡。没有预留，队列会饿死大作业，而制造这个饿死流的正是平台自己：lifecycle 作业和 Playground 会话各占一张卡，于是一个四卡作业被跳过，排在它后面的一卡作业抢走刚释放的容量——每一轮都如此，永远如此。控制台上显示成「等待容量」，无限期。预留的代价是在凑齐之前有卡闲置，所以它只对已经饿了这么久的作业生效。0 表示不预留。
`TUNEPLANE_SWEEP_EARLY_STOP_ENABLED`	`bool`	`true`	sweep 早停的部署级急停开关。早停本身由客户端按每次 sweep 配置，这个开关存在的唯一理由是：早停会主动杀作业，必须留一个不改任何 sweep 就能全局关掉它的地方。

维护模式

环境变量	类型	默认值	说明
`TUNEPLANE_MAINTENANCE_MODE`	`bool`	`false`	打开后，新提交一律入队但不下发，已排空的作业保持 PAUSED 并标记自动恢复。关闭即自动恢复：队列 worker 会按原 run id 重新提交每个暂停的作业，从 checkpoint 续训。
`TUNEPLANE_MAINTENANCE_NOTE`	`str`	—	回显给被拦下的提交者，例如「升级 Ray 镜像至 0.7.0-20260805，预计 30 分钟」

运行时看门狗

环境变量	类型	默认值	说明
`TUNEPLANE_MCP_ENABLED`	`bool`	`true`	是否挂载 MCP 服务，向 AI agent 暴露作业配置、指标和日志。
`TUNEPLANE_MCP_TOKEN_DAYS`	`int`	`30`	MCP OAuth access token 的有效期。
`TUNEPLANE_ONBOARDING_CARD`	`bool`	`true`	概览页是否显示新手引导卡，指引新用户安装 CLI、登录并提交第一个作业。有作业后会自动隐藏。
`TUNEPLANE_PREMIUM_PUBLIC`	`bool`	`false`	AI 诊断、Ask Agent 和 MCP 接入是否对所有登录用户开放，而不是仅限管理员。
`TUNEPLANE_WATCHDOG_CLUSTER_RECONCILE`	`bool`	`true`	是否做集群级的 Ray 用卡与台账对账。这项检查不依赖客户端上报的任何东西，是三者中最可靠的一项。
`TUNEPLANE_WATCHDOG_CLUSTER_TOLERANCE`	`int`	`0`	集群级对账的容差（张）。
`TUNEPLANE_WATCHDOG_ENABLED`	`bool`	`true`	运行时看门狗是否启用。裸金属 Ray 没有 cgroup 或 GPU 硬隔离，准入只是作业启动前的软闸；看门狗周期性地把集群实际用卡与台账记账对账，不符则告警并留审计，还可以停掉能可靠归因的超额作业。它是纵深防御的一层——硬配额需要 Kubernetes 或 Kueue 一类的基础设施。
`TUNEPLANE_WATCHDOG_ENFORCE`	`bool`	`false`	看门狗判定为可靠超额时，是否真的停止作业，还是只告警。
`TUNEPLANE_WATCHDOG_FATAL_HANG_S`	`float`	`90.0`	日志末尾已是 WorkerProc/Actor 崩溃且持续无新输出时，自动标 FAILED 并停止；0 关闭
`TUNEPLANE_WATCHDOG_GPU_MIN_MEM_MIB`	`float`	`2048.0`	一张卡上占用多少显存才算「本作业在用」。用它排除空闲卡——空闲卡也会报大约 0.6 GB 的残留上下文——避免把整机的空闲卡误算成超额。
`TUNEPLANE_WATCHDOG_GPU_TOLERANCE`	`int`	`0`	单个作业实际用卡超出记账多少张才算超额。
`TUNEPLANE_WATCHDOG_INTERVAL`	`float`	`120.0`	看门狗巡检的间隔。
`TUNEPLANE_WATCHDOG_SILENCE_ALERT_S`	`float`	`1800.0`	一个活跃且记账大于零的作业持续多久没有遥测就告警——通常意味着采集被关掉了，或者作业卡死了。
`TUNEPLANE_WATCHDOG_STARTUP_GRACE_S`	`float`	`300.0`	作业进入 RUNNING 后多久内不做判定，避开启动和预热期的抖动。
`TUNEPLANE_WATCHDOG_TELEMETRY_WINDOW_S`	`float`	`300.0`	遥测数据多新才算「当前」。

诊断 Agent

环境变量	类型	默认值	说明
`TUNEPLANE_AGENT_COMPARE_MAX_TURNS`	`int`	`6`	对比助手最多可以调用多少轮工具。
`TUNEPLANE_AGENT_DIAGNOSE_ON_FAIL`	`bool`	`true`	作业失败时是否立即触发一次诊断。
`TUNEPLANE_AGENT_DIAGNOSE_RUNNING`	`bool`	`true`	是否在作业运行期间就诊断，而不只是在它结束之后。
`TUNEPLANE_AGENT_DIAGNOSIS_COOLDOWN`	`int`	`900`	同一个作业两次诊断之间的最小间隔。
`TUNEPLANE_AGENT_DIAGNOSIS_INTERVAL`	`float`	`300.0`	多久考察一次运行中的作业是否需要诊断。
`TUNEPLANE_AGENT_DIAGNOSIS_MAX_TURNS`	`int`	`8`	诊断 Agent 在必须给出结论前，最多可以调用多少轮工具。
`TUNEPLANE_AGENT_ENABLED`	`bool`	`true`	诊断 Agent 是否启用。
`TUNEPLANE_AGENT_LLM_API_KEY`	`str`	—	该端点的 API key。
`TUNEPLANE_AGENT_LLM_BASE_URL`	`str`	`https://api.openai.com/v1`	诊断 Agent 调用的 OpenAI 兼容端点，例如 `https://api.openai.com/v1`。
`TUNEPLANE_AGENT_LLM_MODEL`	`str`	`gpt-4o-mini`	诊断 Agent 使用的模型。默认取轻量模型以降低成本，但多步诊断推理对模型能力很敏感，生产建议用更强的。
`TUNEPLANE_AGENT_LLM_TEMPERATURE`	`float`	`0.3`	设为负数则不下发 temperature；部分推理/新模型（o 系、gpt-5 类、部分 Azure）只接受默认温度，硬编码会报 400
`TUNEPLANE_AGENT_LLM_TIMEOUT`	`float`	`60.0`	单次 LLM 调用的超时。

密钥与集成

环境变量	类型	默认值	说明
`TUNEPLANE_HF_ENDPOINT`	`str`	—	向新建的作业、Playground 和模型服务容器注入 HF_ENDPOINT。只填写 URL，无需 export 或引号，例如 https://nexus.example/repository/huggingface-proxy。保存后无需重启控制台，对后续工作负载生效；已有容器需重建。留空使用官方 Hub，也不再注入镜像专用的环境变量默认值。见离线内网部署。
`TUNEPLANE_HF_HUB_DISABLE_XET`	`bool`	`true`	配置镜像端点后，开启时注入 HF_HUB_DISABLE_XET=1，关闭时注入 0。Nexus REST 代理建议开启。对新建的作业、Playground 和模型服务容器生效，已有容器需重建；作业显式环境变量优先。
`TUNEPLANE_HF_HUB_DOWNLOAD_TIMEOUT`	`int`	`300`	配置镜像端点后，向新建的作业、Playground 和模型服务容器注入 HF_HUB_DOWNLOAD_TIMEOUT。默认 300 秒，为代理首次回源预留时间，必须大于零。已有容器需重建；作业显式环境变量优先。
`TUNEPLANE_HF_LOGIN_ENABLED`	`bool`	`false`	在登录页提供「使用 Hugging Face 登录」。与下面的 Hugging Face 账号绑定是两回事——绑定是让已登录用户拉取受限仓库，两者共用同一个 OAuth 应用。登录只申请身份类 scope。
`TUNEPLANE_HF_OAUTH_BASE_URL`	`str`	`https://huggingface.co`	Hugging Face 的基础地址。只有对接企业版 Hub 时才需要改。
`TUNEPLANE_HF_OAUTH_CLIENT_ID`	`str`	—	Hugging Face OAuth 应用的 client id。
`TUNEPLANE_HF_OAUTH_CLIENT_SECRET`	`str`	—	该应用的 client secret。
`TUNEPLANE_HF_OAUTH_ENABLED`	`bool`	`false`	用户能否关联 Hugging Face 账号——作业读取受限模型或推送导出结果都需要它。
`TUNEPLANE_HF_OAUTH_SCOPES`	`str`	`openid profile email read-repos gated-repos`	用户关联账号时请求的 scope。
`TUNEPLANE_HF_OAUTH_WRITE_ENABLED`	`bool`	`false`	关联账号时是否可以申请写权限。默认关闭，让「什么都不会被上传」成为安全的默认值。
`TUNEPLANE_HF_PREFLIGHT_ENABLED`	`bool`	`true`	提交时是否预先检查作业引用的 Hub 资源可达且已授权。仅在启用 Hugging Face 集成时生效。
`TUNEPLANE_HUB_HUGGINGFACE_ENABLED`	`bool`	`false`	平台是否可以从 Hugging Face 读取——包括 spec 里写 `hf:org/name` 的作业，以及直接服务该 hub 仓库的模型部署。默认关闭；两者拉的是同一批权重、走同一条出网，所以由同一个开关管。与 Hugging Face 登录/账号绑定是两件事——后者管的是凭据，这里管的是平台能不能触达该 hub。
`TUNEPLANE_HUB_MODELSCOPE_ENABLED`	`bool`	`false`	平台是否可以从 ModelScope 读取——包括 spec 里写 `ms:org/name` 的作业，以及直接服务该 hub 仓库的模型部署。默认关闭。仅支持公开仓库，暂不支持 ModelScope 私有仓库。
`TUNEPLANE_MODELSCOPE_API_BASE`	`str`	`https://modelscope.cn`	控制台查询 ModelScope 引用是否存在的地址。与下面的 ModelScope 端点不是一回事：那个是注入到作业容器里的下载端点，而一个只代理文件下载的镜像未必提供元信息 API。
`TUNEPLANE_MODELSCOPE_API_TIMEOUT`	`int`	`60`	配置 ModelScope 端点后注入 MODELSCOPE_API_TIMEOUT。默认 60，最小值 1。采用新版 modelscope_hub SDK 的变量名。对后续工作负载生效；作业显式环境变量优先。
`TUNEPLANE_MODELSCOPE_DOWNLOAD_MAX_RETRIES`	`int`	`5`	配置 ModelScope 端点后注入 MODELSCOPE_DOWNLOAD_MAX_RETRIES。默认 5，最小值 0。采用新版 modelscope_hub SDK 的变量名。对后续工作负载生效；作业显式环境变量优先。
`TUNEPLANE_MODELSCOPE_DOWNLOAD_PARALLEL_WORKERS`	`int`	`1`	配置 ModelScope 端点后注入 MODELSCOPE_DOWNLOAD_PARALLEL_WORKERS。默认 1，最小值 1。采用新版 modelscope_hub SDK 的变量名。对后续工作负载生效；作业显式环境变量优先。
`TUNEPLANE_MODELSCOPE_DOWNLOAD_TIMEOUT`	`int`	`300`	配置 ModelScope 端点后注入 MODELSCOPE_DOWNLOAD_TIMEOUT。默认 300，最小值 1。采用新版 modelscope_hub SDK 的变量名。对后续工作负载生效；作业显式环境变量优先。
`TUNEPLANE_MODELSCOPE_ENDPOINT`	`str`	—	向新建的作业、Playground 和模型服务容器注入 MODELSCOPE_ENDPOINT。只填 URL，无需 export 或引号。留空保留 SDK 默认行为，也不注入配套下载设置。镜像需要包含兼容的 ModelScope SDK；此配置不会切换引擎的模型来源。已有容器需重建。
`TUNEPLANE_SECRET_ENC_KEY`	`str`	—	加密静态存储密钥所用的 Fernet 密钥。启用 Hugging Face 集成后必填——没有隐式兜底，因为一个悄悄未加密的密钥库比拒绝启动糟糕得多。

Webhook 渠道

环境变量	类型	默认值	说明
`TUNEPLANE_DAILY_REPORT_AGENT_MAX_TURNS`	`int`	`6`	源码分析 Agent 最多可以调用多少轮工具。
`TUNEPLANE_DAILY_REPORT_DEEP_ANALYSIS`	`bool`	`false`	开启后 Agent 会读取作业工作目录源码识别新方法/新技术；需已配置诊断 Agent 的 LLM，成本较高
`TUNEPLANE_DAILY_REPORT_DEEP_ANALYSIS_MAX`	`int`	`3`	控成本：仅对最可能引入新方法/有调整的少数项目跑源码分析
`TUNEPLANE_DAILY_REPORT_ENABLED`	`bool`	`false`	是否生成并发送每日的后训练进展汇总。
`TUNEPLANE_DAILY_REPORT_KEEP_DAYS`	`int`	`90`	钉钉里只发摘要+链接，完整日报存在服务端；超过保留天数的旧链接会失效
`TUNEPLANE_DAILY_REPORT_PROMPT`	`str`	—	留空使用内置默认提示词；可自定义汇报口吻与关注点（面向领导的进展/提升/待改进）
`TUNEPLANE_DAILY_REPORT_SECRET`	`str`	—	该专用 Webhook 的加签密钥。留空则回落到钉钉的加签密钥。
`TUNEPLANE_DAILY_REPORT_TIME`	`str`	`09:00`	日报发送时刻，HH:MM，按服务时区。
`TUNEPLANE_DAILY_REPORT_WEBHOOK_URL`	`str`	—	日报专用的 Webhook。留空则回落到钉钉 Webhook。
`TUNEPLANE_DAILY_REPORT_WEEKDAYS_ONLY`	`bool`	`true`	开启则仅周一至周五发送（汇总前一自然日）
`TUNEPLANE_DINGTALK_AT_ALL`	`bool`	`false`	推送时是否 @所有人。
`TUNEPLANE_DINGTALK_AT_MOBILES`	`str`	—	推送时 @ 指定成员（需其手机号）；多个用逗号分隔
`TUNEPLANE_DINGTALK_ENABLED`	`bool`	`false`	钉钉推送是否启用。关闭后站内消息镜像和日报都不推送。
`TUNEPLANE_DINGTALK_NOTIFY_SITE_MESSAGES`	`bool`	`false`	系统站内通知产生时，按下方级别镜像推送到钉钉群
`TUNEPLANE_DINGTALK_SECRET`	`str`	—	机器人安全设置选「加签」时填写；选「自定义关键词」则留空
`TUNEPLANE_DINGTALK_SITE_MESSAGE_KINDS`	`str`	`error,warning`	逗号分隔：error\|warning\|success\|info；避免刷屏建议只推 error,warning
`TUNEPLANE_DINGTALK_WEBHOOK_URL`	`str`	—	钉钉群「智能群助手」添加自定义机器人后的 Webhook 地址（含 access_token）
`TUNEPLANE_WEBHOOK_ALLOWED_HOSTS`	`str`	—	出站主机白名单，逗号分隔。留空表示禁止一切 webhook，这是有意的：控制台通常能访问内网，允许任意出站目标等于把它变成一台内网扫描器。
`TUNEPLANE_WEBHOOK_DAILY_REPORT_URL`	`str`	—	日报的独立目标。留空则回落到主目标。
`TUNEPLANE_WEBHOOK_ENABLED`	`bool`	`false`	通用 webhook 渠道是否启用。控制台只按模板发一个 HTTP 请求——本来要进控制台进程的扩展改走进程边界，而不是做成插件。
`TUNEPLANE_WEBHOOK_NOTIFY_SITE_MESSAGES`	`bool`	`false`	站内通知是否镜像推送到 webhook。
`TUNEPLANE_WEBHOOK_SITE_MESSAGE_KINDS`	`str`	—	镜像推送哪些级别的通知，逗号分隔。留空表示全部。
`TUNEPLANE_WEBHOOK_TEMPLATE`	`str`	—	请求体的 JSON 模板，占位符是 {{title}} 和 {{text}}。留空则使用通用形状。
`TUNEPLANE_WEBHOOK_URL`	`str`	—	主 webhook 目标，用于站内消息镜像，并作为日报的兜底目标。

把部署跑起来

执行器

平台治理

日常运维

部署基础配置

怎么读下面的表

核心

代理提交

失败自动重试

LLM 裁判

Agent 沙箱

Playground

模型部署

Slurm 执行器

KubeRay 执行器

对象存储

时段窗口

维护模式

运行时看门狗

诊断 Agent

密钥与集成

Webhook 渠道

​部署基础配置

​怎么读下面的表

​核心

​代理提交

​失败自动重试

​LLM 裁判

​Agent 沙箱

​Playground

​模型部署

​Slurm 执行器

​KubeRay 执行器

​对象存储

​时段窗口

​维护模式

​运行时看门狗

​诊断 Agent

​密钥与集成

​Webhook 渠道

部署基础配置

怎么读下面的表

核心

代理提交

失败自动重试

LLM 裁判

Agent 沙箱

Playground

模型部署

Slurm 执行器

KubeRay 执行器

对象存储

时段窗口

维护模式

运行时看门狗

诊断 Agent

密钥与集成

Webhook 渠道