OpenClawDocs
View as MarkdownView this page as plain textOpen in ChatGPTAsk questions about this pageOpen in ClaudeAsk questions about this page

Containers

Ansible

Déployez OpenClaw sur des serveurs de production avec openclaw-ansible, un programme d’installation automatisé doté d’une architecture privilégiant la sécurité.

Prérequis

Exigence Détails
Système d’exploitation Debian 11+ ou Ubuntu 20.04+
Accès Privilèges root ou sudo
Réseau Connexion Internet pour l’installation des paquets
Ansible 2.14+ (installé automatiquement par le script de démarrage rapide)

Ce que vous obtenez

  • Sécurité privilégiant le pare-feu : UFW + isolation Docker (seuls SSH + Tailscale sont accessibles)
  • VPN Tailscale pour l’accès à distance sans exposer publiquement les services
  • Docker pour des conteneurs sandbox isolés avec des liaisons limitées à localhost
  • Intégration à systemd avec renforcement de la sécurité et démarrage automatique au démarrage du système
  • Configuration en une seule commande

Démarrage rapide

bash
curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Éléments installés

  1. Tailscale (VPN maillé pour un accès à distance sécurisé)
  2. Pare-feu UFW (ports SSH + Tailscale uniquement)
  3. Docker CE + Compose V2 (backend sandbox par défaut des agents)
  4. Node.js et pnpm (OpenClaw nécessite Node 22.22.3+, 24.15+ ou 25.9+ ; Node 24 est recommandé)
  5. OpenClaw, installé directement sur l’hôte et non conteneurisé
  6. Un service systemd avec renforcement de la sécurité

Configuration après l’installation

  • Passer à l’utilisateur openclaw

    bash
    sudo -i -u openclaw

  • Exécuter l’assistant d’intégration

    Le script de post-installation vous guide dans la configuration d’OpenClaw.

  • Connecter les canaux de messagerie

    Connectez-vous à WhatsApp, Telegram, Discord ou Signal :

    bash
    openclaw channels login --channel <name>

  • Vérifier l’installation

    bash
    sudo systemctl status openclawsudo journalctl -u openclaw -f

  • Se connecter à Tailscale

    Rejoignez votre maillage VPN pour bénéficier d’un accès à distance sécurisé.

    • Commandes rapides

    bash
    # Vérifier l’état du servicesudo systemctl status openclaw # Afficher les journaux en directsudo journalctl -u openclaw -f # Redémarrer le Gatewaysudo systemctl restart openclaw # Connexion à un canal (à exécuter en tant qu’utilisateur openclaw)sudo -i -u openclawopenclaw channels login --channel <name>

    Architecture de sécurité

    Modèle de défense à quatre couches :

    1. Pare-feu (UFW) : seuls SSH (22) et Tailscale (41641/udp) sont exposés publiquement
    2. VPN (Tailscale) : le Gateway est accessible uniquement via le maillage VPN
    3. Isolation Docker : la chaîne iptables DOCKER-USER empêche l’exposition externe des ports
    4. Renforcement de systemd : NoNewPrivileges, PrivateTmp, utilisateur non privilégié

    Vérifiez votre surface d’attaque externe :

    bash
    nmap -p- YOUR_SERVER_IP

    Seul le port 22 (SSH) doit être ouvert. Le Gateway et Docker restent verrouillés.

    Docker est installé pour les sandbox d’agents (exécution isolée des outils), et non pour exécuter le Gateway. Consultez Sandbox multi-agent et outils pour configurer la sandbox.

    Installation manuelle

  • Installer les prérequis

    bash
    sudo apt update && sudo apt install -y ansible git

  • Cloner le dépôt

    bash
    git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

  • Installer les collections Ansible

    bash
    ansible-galaxy collection install -r requirements.yml

  • Exécuter le playbook

    bash
    ./run-playbook.sh

    Vous pouvez également exécuter directement le playbook, puis lancer manuellement le script de configuration :

    bash
    ansible-playbook playbook.yml --ask-become-pass# Exécutez ensuite : /tmp/openclaw-setup.sh

    • Mise à jour

    Le programme d’installation Ansible configure OpenClaw pour les mises à jour manuelles ; consultez Mise à jour pour connaître la procédure standard.

    Pour réexécuter le playbook (par exemple, après des modifications de configuration) :

    bash
    cd openclaw-ansible./run-playbook.sh

    Cette opération est idempotente et peut être exécutée plusieurs fois en toute sécurité.

    Dépannage

    Le pare-feu bloque ma connexion
    • Connectez-vous d’abord via le VPN Tailscale ; par conception, le Gateway n’est accessible que de cette manière.
    • SSH (port 22) est toujours autorisé.
    Le service ne démarre pas
    bash
    # Vérifier les journauxsudo journalctl -u openclaw -n 100 # Vérifier les autorisationssudo ls -la /opt/openclaw # Tester le démarrage manuelsudo -i -u openclawcd ~/openclawopenclaw gateway run
    Problèmes liés à la sandbox Docker
    bash
    # Vérifier que Docker est en cours d’exécutionsudo systemctl status docker # Vérifier l’image de la sandboxsudo docker images | grep openclaw-sandbox # Construire l’image de la sandbox si elle est absente (nécessite un checkout des sources)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# Pour les installations npm sans checkout des sources, consultez# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup
    Échec de la connexion au canal

    Vérifiez que vous exécutez les commandes en tant qu’utilisateur openclaw :

    bash
    sudo -i -u openclawopenclaw channels login --channel <name>

    Configuration avancée

    Pour obtenir des informations détaillées sur l’architecture de sécurité et le dépannage, consultez le dépôt openclaw-ansible :

    Ressources associées

    Was this useful?
    On this page

    On this page