Plugin خط‌مشی

بررسی‌های عیب‌یابِ مبتنی بر خط‌مشی را برای انطباق فضای کاری اضافه می‌کند.

توزیع

• بسته: @openclaw/policy
• مسیر نصب: همراه با OpenClaw

سطح

Plugin

رفتار

Plugin خط‌مشی بررسی‌های سلامت عیب‌یاب را برای تنظیمات مدیریت‌شده با خط‌مشی OpenClaw و اعلان‌های فضای کاریِ تحت حاکمیت فراهم می‌کند. خط‌مشی در حال حاضر انطباق کانال، فراداده ابزارهای تحت حاکمیت، وضعیت سرور MCP، وضعیت ارائه‌دهنده مدل، وضعیت دسترسی شبکه خصوصی، وضعیت در معرض قرار گرفتن Gateway، وضعیت ابزار/فضای کاری عامل، وضعیت ابزارهای سراسری/به‌ازای‌عاملِ پیکربندی‌شده، وضعیت زمان اجرای سندباکسِ پیکربندی‌شده، وضعیت دسترسی ورودی/کانال، وضعیت مدیریت داده، و وضعیت ارائه‌دهنده راز/نمایه احراز هویت پیکربندی OpenClaw را پوشش می‌دهد.

خط‌مشی الزامات نوشته‌شده را در policy.jsonc ذخیره می‌کند، تنظیمات موجود OpenClaw و اعلان‌های فضای کاری را به‌عنوان شواهد مشاهده می‌کند، و انحراف را از طریق openclaw policy check و openclaw doctor --lint گزارش می‌دهد. یک بررسی پاک خط‌مشی، خط‌مشی، شواهد، یافته‌ها، و هش‌های گواهی را منتشر می‌کند که گردانندگان می‌توانند برای حسابرسی ثبت کنند.

openclaw policy compare --baseline <file> یک فایل خط‌مشی را با فایل خط‌مشی دیگری مقایسه می‌کند. این فقط انطباق در سطح پیکربندی است: از فراداده قاعده‌های خط‌مشی استفاده می‌کند تا تأیید کند خط‌مشی بررسی‌شده نسبت به مبنای نوشته‌شده، موردی را کم ندارد یا ضعیف‌تر نیست، و وضعیت زمان اجرا، اعتبارنامه‌ها، یا مقدارهای راز را بازرسی نمی‌کند.

قاعده‌های وضعیت ابزار می‌توانند نمایه‌های تأییدشده، ابزارهای سامانه فایل فقط برای فضای کاری، تنظیمات محدودشده امنیت/پرسش/میزبان برای اجرا، غیرفعال بودن حالت ارتقایافته، ورودی‌های دقیق alsoAllow، و ورودی‌های الزامی انکار ابزار را الزام کنند. رکوردهای شواهد ورودی‌های افزایشی alsoAllow را ثبت می‌کنند، زیرا می‌توانند وضعیت مؤثر ابزار را گسترده‌تر کنند. این بررسی‌ها فقط انطباق پیکربندی را مشاهده می‌کنند؛ وضعیت تأیید زمان اجرا را نمی‌خوانند و اجرای اجباری در زمان اجرا اضافه نمی‌کنند.

قاعده‌های وضعیت سندباکس می‌توانند حالت‌ها/پس‌زمینه‌های تأییدشده سندباکس، انکار شبکه‌سازی کانتینر میزبان، انکار پیوستن به فضای نام کانتینر، الزام اتصال‌های فقط‌خواندنی کانتینر، انکار اتصال‌های سوکت زمان اجرای کانتینر و نمایه‌های کانتینر بدون محدودیت، و الزام بازه‌های منبع CDP مرورگر سندباکس را مطالبه کنند. این بررسی‌ها فقط انطباق پیکربندی را مشاهده می‌کنند؛ وضعیت تأیید زمان اجرا را نمی‌خوانند، کانتینرهای زنده را بازرسی نمی‌کنند، و اجرای اجباری در زمان اجرا اضافه نمی‌کنند.

قاعده‌های مدیریت داده می‌توانند ویرایش اطلاعات حساس در گزارش‌گیری، انکار ثبت محتوای دورسنجی، الزام نگهداری ماندگاری نشست، و انکار نمایه‌سازی حافظه رونوشت نشست را مطالبه کنند. این بررسی‌ها فقط انطباق پیکربندی را مشاهده می‌کنند؛ گزارش‌های خام، خروجی‌های دورسنجی، رونوشت‌ها، فایل‌های حافظه، رازها، یا داده‌های شخصی را بازرسی نمی‌کنند.

دامنه‌های نام‌گذاری‌شده خط‌مشی زیر scopes.<scopeName> می‌توانند بخش‌های عادی سخت‌گیرانه‌تری از خط‌مشی را برای گزینشگری که فهرست می‌کنند اضافه کنند. agentIds از tools، agents.workspace، sandbox، و dataHandling.memory پشتیبانی می‌کند؛ channelIds از ingress.channels پشتیبانی می‌کند. شناسه‌های عامل زمان اجرا که به‌طور صریح در agents.list[] فهرست نشده‌اند، به‌جای عبور بی‌صدا بدون شواهد، در برابر وضعیت سراسری/پیش‌فرض به‌ارث‌رسیده بررسی می‌شوند. هر دامنه موجود در policy.jsonc باید برای گزینشگر خود معتبر و قابل اعمال باشد. قاعده‌های هم‌پوشانی ادعاهای اضافی هستند، بنابراین خط‌مشی سطح بالا را ضعیف نمی‌کنند و وقتی همان پیکربندی مشاهده‌شده هر دو دامنه را نقض کند، می‌توانند یافته‌های خود را تولید کنند.

اسناد مرتبط

• خط‌مشی