Ansible

Déployez OpenClaw sur des serveurs de production avec openclaw-ansible -- un installateur automatisé avec une architecture axée sur la sécurité.

Prérequis

Ce que vous obtenez

• Sécurité axée d’abord sur le pare-feu -- isolation UFW + Docker (seuls SSH + Tailscale sont accessibles)
• VPN Tailscale -- accès distant sécurisé sans exposer publiquement les services
• Docker -- conteneurs sandbox isolés, liaisons limitées à localhost
• Défense en profondeur -- architecture de sécurité à 4 couches
• Intégration systemd -- démarrage automatique au boot avec durcissement
• Installation en une seule commande -- déploiement complet en quelques minutes

Démarrage rapide

Installation en une seule commande :

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Ce qui est installé

Le playbook Ansible installe et configure :

1. Tailscale -- VPN maillé pour un accès distant sécurisé
2. Pare-feu UFW -- ports SSH + Tailscale uniquement
3. Docker CE + Compose V2 -- pour le backend sandbox d’agent par défaut
4. Node.js 24 + pnpm -- dépendances d’exécution (Node 22 LTS, actuellement 22.19+, reste pris en charge)
5. OpenClaw -- basé sur l’hôte, non conteneurisé
6. Service systemd -- démarrage automatique avec durcissement de sécurité

Configuration après installation

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclawsudo journalctl -u openclaw -f

Commandes rapides

# Check service statussudo systemctl status openclaw # View live logssudo journalctl -u openclaw -f # Restart gatewaysudo systemctl restart openclaw # Provider login (run as openclaw user)sudo -i -u openclawopenclaw channels login

Architecture de sécurité

Le déploiement utilise un modèle de défense à 4 couches :

1. Pare-feu (UFW) -- seuls SSH (22) + Tailscale (41641/udp) sont exposés publiquement
2. VPN (Tailscale) -- passerelle accessible uniquement via le maillage VPN
3. Isolation Docker -- la chaîne iptables DOCKER-USER empêche l’exposition de ports externes
4. Durcissement systemd -- NoNewPrivileges, PrivateTmp, utilisateur non privilégié

Pour vérifier votre surface d’attaque externe :

nmap -p- YOUR_SERVER_IP

Seul le port 22 (SSH) devrait être ouvert. Tous les autres services (passerelle, Docker) sont verrouillés.

Docker est installé pour les sandboxes d’agents (exécution d’outils isolée), pas pour exécuter la passerelle elle-même. Consultez Multi-Agent Sandbox and Tools pour la configuration du sandbox.

Installation manuelle

Si vous préférez contrôler manuellement l’automatisation :

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Then run: /tmp/openclaw-setup.sh

Mise à jour

L’installateur Ansible configure OpenClaw pour les mises à jour manuelles. Consultez Updating pour le flux de mise à jour standard.

Pour réexécuter le playbook Ansible (par exemple, pour des changements de configuration) :

cd openclaw-ansible./run-playbook.sh

Cette opération est idempotente et peut être exécutée plusieurs fois sans risque.

Dépannage

# Check logssudo journalctl -u openclaw -n 100 # Verify permissionssudo ls -la /opt/openclaw # Test manual startsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Verify Docker is runningsudo systemctl status docker # Check sandbox imagesudo docker images | grep openclaw-sandbox # Build sandbox image if missing (requires source checkout)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# For npm installs without a source checkout, see# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login

Configuration avancée

Pour l’architecture de sécurité détaillée et le dépannage, consultez le dépôt openclaw-ansible :

• Architecture de sécurité
• Détails techniques
• Guide de dépannage

Connexe

• openclaw-ansible -- guide de déploiement complet
• Docker -- configuration de passerelle conteneurisée
• Sandboxing -- configuration du sandbox d’agent
• Multi-Agent Sandbox and Tools -- isolation par agent