Bring Your Own Cloud

Qué significa BYOC en Mycelium

Tus datos nunca salen del perímetro de tu red. Mycelium entrega el runtime como un artefacto desplegable (Helm chart, Docker Compose, o módulo de Terraform). Tú eres dueño de la cuenta cloud, del cluster de Kubernetes, de la capa de almacenamiento, y de las llaves. Mycelium opera el artefacto, no tu entorno.

Rutas de despliegue de referencia

AWS VPC

Módulo de Terraform de referencia en docs.myceliumai.co/byoc/aws. Despliega a ECS Fargate o EKS. Usa RDS de tu cuenta para metadata de tenants, S3 para almacenamiento de vaults, y KMS para llaves.

Azure subscription

Plantilla ARM de referencia en docs.myceliumai.co/byoc/azure. Despliega a AKS. Usa PostgreSQL Flexible Server, Blob Storage, y Key Vault de tu cuenta.

GCP project

Módulo de Terraform de referencia en docs.myceliumai.co/byoc/gcp. Despliega a GKE. Usa Cloud SQL, GCS, y Cloud KMS de tu proyecto.

Postura de red

• Ingreso solamente por HTTPS, TLS 1.3.
• Sin llamadas salientes excepto los webhooks que tú configures (Slack, GitHub, Notion, Linear, Gmail, Salesforce, Oracle, Jira, HubSpot, GitLab, Dropbox, Zoom, ADP).
• El cómputo de LLM es opt-in por tenant (Anthropic, OpenAI, OpenRouter, MiniMax). No hay enrutamiento por defecto a un modelo controlado por Mycelium.
• Sin telemetría de Mycelium por defecto. El logging es local hasta que conectes un destino.

Almacenamiento

El vault por tenant es nativo del sistema de archivos. Mycelium opera sobre POSIX (EBS, Azure Disk, GCE PD) o sobre cualquier almacén de objetos compatible con S3. Tú eliges la capa de almacenamiento. Mycelium no impone un proveedor de base de datos; la metadata de tenants es un archivo plano por defecto, y un Postgres administrado en los módulos de referencia mencionados arriba.

Gestión de llaves

Las llaves de cifrado por tenant viven en tu KMS (AWS KMS, Azure Key Vault, GCP Cloud KMS, o HashiCorp Vault). Mycelium nunca almacena llaves. El runtime se autentica contra tu KMS usando la primitiva nativa de identidad cloud (rol IAM, identidad administrada, identidad de workload) provisionada por el módulo de referencia.

Variante air-gapped

Para clientes regulados (defensa, inteligencia, salud con HIPAA más retención estatal), un Dockerfile air-gapped está publicado en github.com/adelaidasofia/memory-runtime-pro/deployment/airgapped. Sin dependencias salientes en runtime. Pipeline de build offline-friendly. Los webhooks del lado del cliente son configuración explícita por tenant; se puede deshabilitar cualquier subconjunto.

Modelo de compromiso

Los clientes BYOC firman la carta de compromiso, reciben el artefacto desplegable más el runbook de operaciones más una sesión de pareo con un ingeniero de Mycelium. El soporte continuo corre por un canal compartido en Slack. Las actualizaciones se entregan como upgrades firmados de Helm chart; tú eliges la ventana de upgrade.

Lo que aún no está certificado

Lista honesta, actualizada cada trimestre:

• SOC 2 Type II: compromiso comenzando.
• HIPAA atestación completa: en proceso.
• FedRAMP Moderate: en el roadmap.

Para preguntas de seguridad y cumplimiento escribe a security@myceliumai.co.