Изоляция шлюза OpenClaw на общем арендованном облачном Mac mini

Шлюз OpenClaw на арендованном облачном Mac mini приближает настоящие сервисы macOS без немедленной покупки Apple Silicon — ориентир по бюджету часто около 16,9 USD в сутки. Ловушка в том, чтобы вести машину как одноразовый Linux-VPS: несколько операторов, учётки автоматизации и «золотые» образы провайдера наслаиваются незаметно. Этот материал про мультитенантную гигиену: разделение ~/.openclaw или OPENCLAW_HOME, уникальные Label у LaunchAgent, работа с клонами UID из шаблонов, предотвращение коллизий TCP и UNIX-сокетов, а также разделение секретов между переменными окружения и связкой ключей. Первичное развёртывание сочетайте с онбордингом шлюза и TCC; если задания «плывут» после обновлений, сверяйтесь с перезапуском и восстановлением LaunchAgent.

Карта рисков для общих шлюзов

Общие хосты усиливают три сценария: перетекание состояния (сессии перезаписывают чужие конфиги), путаницу планировщика (дублирующиеся метки launchd) и дрейф идентичности (клоны образов переиспользуют тот же числовой UID; пути в plist выглядят валидными, но указывают не на того человека). Таблица ниже сопоставляет риск и меру — внедрите её до запуска openclaw gateway install.

Риск	Проявление	Мера
Общий корень по умолчанию	Блокировки SQLite, смешанные учётные данные, загадочные падения	Жёстко задать OPENCLAW_HOME каждому под ~/Users/<short>
Дубли меток LaunchAgent	Реально работает только одно задание	Префикс арендатора, напр. com.acme.openclaw.gateway.alice
Клон UID в образе	plists всё ещё смотрят на /Users/build	bootout старых заданий; переустановка после первого входа реального пользователя
Пересечение TCP/UNIX	EADDRINUSE, дёргающиеся health-check, циклы retry агентов	Выделять блоки вроде 18789–18809 на место
Ключи world-readable	Один cat утекает между SSH-сессиями	Долгие токены — в связку; env-заглушки chmod 600

На первую сквозную проверку заложите 30–45 минут: шлюз поднят, агент подключён, TCC-запросы закрыты, после перезагрузки самовосстановление. Пропуск репетиции превращает «у меня на ноутбуке работало» в ночной инцидент, когда второй подрядчик заходит на ту же mini.

OPENCLAW_HOME на оператора

На личном Mac ~/.openclaw удобен; на аренде с соседями это мина. Создайте каталог на человека (mkdir -p ~/.openclaw-alice) и экспортируйте OPENCLAW_HOME в его shell-профиле до install и doctor. Зафиксируйте путь во внутренней базе знаний, чтобы дежурный не считал все тильды эквивалентными.

Почему не ACL группы на общем дереве? Шлюз смешивает метаданные доверенных устройств, локальные кэши и IPC с предположением одного писателя. POSIX-группы не заменяют логическую изоляцию арендаторов; они лишь откладывают конфликт, когда два шлюза одновременно биндят UNIX-сокет в $OPENCLAW_HOME/tmp. Для бэкапов — отдельные tarball по префиксу в объектное хранилище, без слитого rsync.

Учётки автоматизации — тоже арендаторы. CI-пользователь для health-check получает OPENCLAW_HOME=/var/lib/openclaw-ci с корректным владельцем вместо паразитирования на домашнем дереве человека. Аудит «какое дерево держало этот API-ключ?» становится отвечаемым.

Не смешивайте демо- и прод-аккаунты в одном OPENCLAW_HOME. Временные кампейн-токены в общей SQLite оставляют следы следующему арендатору; перед возвратом каталоги нужно физически удалить или безопасно затереть.

Метки и пути LaunchAgent

macOS идентифицирует LaunchAgent по Label. Коллизии ведут к неопределённому поведению — часто вторая plist остаётся с предупреждением в Console. Стандартизируйте обратный DNS с командой и местом: com.yourorg.openclaw.gateway.designer1. Имена файлов согласуйте с метками, чтобы ускорить grep при инцидентах.

ProgramArguments должны содержать абсолютные пути к реальной цепочке инструментов (npm global, brew, закреплённый tarball). После мелких обновлений macOS от провайдера перепроверяйте бинарные пути; Homebrew тихо двигает Cellar и симлинки. Безопасный цикл: launchctl bootout старого задания, замена файла, bootstrap — горячая замена без bootout оставляет зомби-состояния.

Направляйте StandardOutPath и StandardErrorPath в журналы под каждый OPENCLAW_HOME. Общий /tmp/openclaw.log порождает войны chmod и утечки токенов при отладочном логировании. Поквартальная ротация по арендаторам помогает доказать, кто инициировал рестарт при проверке комплаенса.

Два шлюза (канареечный и стабильный) у одного логина требуют двух меток, двух OPENCLAW_HOME и матрицы в runbook: метка, блок портов, путь лога, владелец.

Клоны UID и сброс образа

Провайдеры часто отдают замороженные образы, где шаблонный пользователь держит /Users/build или /Users/macuser с UID 501. При клонировании для нового арендатора без явной очистки ~/Library/LaunchAgents и bootstrap-домена этого UID launchd может снова загрузить старые шаблонные задания. Всегда входите как продакшен-пользователь, выполняйте id -u и убедитесь командой launchctl print gui/$(id -u), что видны только ваши метки.

Если меняется только hostname, а домашние каталоги не очищены, не переиспользуйте короткие демо-имена. Переживший снапшот com.vendor.openclaw может вернуться после reboot. Нумерованный чеклист делает bootout обязательным шагом, а не опцией.

Редко после ошибочной миграции два человеческих аккаунта получают один UID — правами это не лечится; OpenClaw читает неверные элементы связки. Эскалация провайдеру; в быту выбирайте хостера с уникальными локальными учётками на подписку.

Глобальным командам учитывайте часовые пояса и переход на летнее время: окна cron/LaunchAgent смещаются; фиксируйте окна обслуживания в UTC и явно прописывайте StartCalendarInterval, чтобы не спорить, кто дежурит.

Коллизии портов и сокетов

TCP-слушатели и UNIX domain sockets — самая шумная поверхность столкновений. Назначайте документированные диапазоны — пример: Alice 18789–18799, Bob 18800–18810 — и версионируйте карту в инфра-репозитории. Переопределяйте дефолты OpenClaw или соседнего прокси в конфигурации, чтобы гонка рестартов не украла порт соседа.

UNIX-сокеты должны жить под OPENCLAW_HOME/run или tmp, а не как глобальный /tmp/openclaw.sock. После жёсткого завершения могут остаться файлы сокетов; стартовые скрипты должны unlink известные пути или явно падать, а не полубиндить. Если на той же mini крутятся nginx/Caddy, дробите конфиги по арендаторам в /opt/tenants/<name>, чтобы случайные include не сливались.

Внешние health-check должны бить в порт конкретного арендатора. Обобщённое «localhost:gateway» ломается при двух шлюзах. Пишите health URL в той же строке, что и OPENCLAW_HOME, чтобы из Slack не копировали чужой фрагмент .env.

С Tailscale или WireGuard регистрируйте виртуальные IP и блоки портов во внутреннем DNS, чтобы двое не сопоставили один loopback с разными туннелями и не получили ложноположительные сбои.

Окружение против связки ключей

Переменные окружения грузятся рано, подходят для неинтерактивного SSH и напоминают twelve-factor — но на общем Mac dotfile легко стать world-readable без chmod 600. Несколько админов с одновременным ps eww на мгновение видят стартовое окружение.

Связка ключей macOS привязывает секреты к залогиненному пользователю и затрудняет межарендаторное чтение при здоровых UNIX-правах. Запускаемые LaunchAgent шлюзы наследуют разблокированную связку GUI-сессии; headless требует документированного первого разблокирования рядом с инструкциями по TCC. Краткоживущие CI-токены приходят из секрет-менеджера в окружение с агрессивной ротацией — никогда в общую .zshrc.

Практическая политика: долгие личные API-ключи → элементы связки на оператора; короткие автоматизационные ключи → словарь EnvironmentVariables в plist автоматизации с chmod 0400 на самой plist; мастер-ключи break-glass → офлайн, не на арендованном диске. Пересматривайте ежеквартально: поверхность секретов OpenClaw меняется.

Если инфраструктура в Git — шифруйте (sops и т. п.) до push; .env.example только с плейсхолдерами, даже для «тестовых» ключей.

Нумерованный чеклист перед сдачей

Перед возвратом или переобразованием облачной mini выполняйте последовательность на глазах у второго инженера — никаких тихих одиночных прогонов.

1. Экспортировать доказательства: tarball OPENCLAW_HOME, копии plist, логи за 24 часа в шифрохранилище; зафиксировать версии CLI и шлюза.
2. Отозвать учётные данные: ротация API-ключей OpenClaw и OAuth refresh; пометить старые ID недействительными в IdP.
3. bootout LaunchAgents: для каждой метки арендатора launchctl bootout gui/$UID ~/Library/LaunchAgents/<файл>.plist, проверить launchctl print.
4. Удалить plist-файлы: убрать записи OpenClaw из ~/Library/LaunchAgents, чтобы клоны не воскресили их.
5. Очистить корни конфигурации: shred каталогов OPENCLAW_HOME по арендаторам или безопасно стереть том по политике.
6. Почистить связку: удалить элементы, связанные с OpenClaw; убедиться, что поиск ничего не находит.
7. Освободить порты: убедиться, что на выделенных блоках нет слушателей; передать запись следующему арендатору.
8. Убрать общие куски env: профили shell, вставки /etc/paths.d, CI-crontab со ссылками на старые домашние каталоги.
9. Проверка TCC: зафиксировать оставшиеся разрешения приватности; сбросить, если следующий арендатор не должен наследовать камеру/микрофон/автоматизацию.
10. Тикет провайдеру: приложить контрольную сумму архива доказательств и подтверждение, что меток LaunchAgent вашей организации не осталось.

Любой провал шага — стоп передаче. Полустёртое состояние хуже позднего возврата: оно передаёт призрачное наследие, которое изоляция как раз должна устранять.

FAQ

Могут ли два инженера безопасно делить ~/.openclaw на одном облачном Mac mini?

Нет. Каталог смешивает рантайм-БД, доверие устройств и кэши сессий; параллельные шлюзы борются за один сокет и одобрения TCC. Назначьте каждому OPENCLAW_HOME в своём домашнем каталоге.

Почему клоны образов провайдера ломают LaunchAgents после оффбординга?

Золотые образы часто сохраняют одинаковый числовой UID и старые пути plist; launchd может воскресить чужую метку или указать Program на удалённого пользователя. Всегда bootout старых заданий, очистите LaunchAgents и переустановите из активной учётной записи.

Где хранить ключи API OpenClaw — в env-файлах или в связке macOS?

На общем хосте: долгие личные токены — в связке; почасовые CI-подобные инъекции — в открытых env-файлах. Не коммитьте ни то ни другое на общий диск без правил на арендатора.

Для шлюзов OpenClaw, которым нужно подлинное поведение macOS, Mac mini остаётся практичной опорой. MacHTML сдаёт облачные Mac mini с SSH и VNC, чтобы команды отрабатывали изоляцию и гигиену LaunchAgent без капексов на железо — поднимайте, когда нужен macOS, гасите, когда шлюз переезжает на выделенное железо.