Ansible

OpenClaw を openclaw-ansible で本番サーバーにデプロイします -- セキュリティ優先のアーキテクチャを備えた自動インストーラーです。

前提条件

得られるもの

• ファイアウォール優先のセキュリティ -- UFW + Docker 分離（SSH + Tailscale のみアクセス可能）
• Tailscale VPN -- サービスを公開せずに安全なリモートアクセスを提供
• Docker -- 分離されたサンドボックスコンテナ、localhost のみのバインディング
• 多層防御 -- 4 層のセキュリティアーキテクチャ
• Systemd 連携 -- ハードニング付きで起動時に自動開始
• ワンコマンドセットアップ -- 数分で完全なデプロイ

クイックスタート

ワンコマンドインストール:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

インストールされるもの

Ansible playbook は次をインストールして設定します。

1. Tailscale -- 安全なリモートアクセス用のメッシュ VPN
2. UFW ファイアウォール -- SSH + Tailscale ポートのみ
3. Docker CE + Compose V2 -- デフォルトのエージェントサンドボックスバックエンド用
4. Node.js 24 + pnpm -- ランタイム依存関係（Node 22 LTS、現在は 22.19+、引き続きサポート）
5. OpenClaw -- ホストベース、コンテナ化なし
6. Systemd サービス -- セキュリティハードニング付きで自動開始

インストール後のセットアップ

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclawsudo journalctl -u openclaw -f

クイックコマンド

# Check service statussudo systemctl status openclaw # View live logssudo journalctl -u openclaw -f # Restart gatewaysudo systemctl restart openclaw # Provider login (run as openclaw user)sudo -i -u openclawopenclaw channels login

セキュリティアーキテクチャ

このデプロイは 4 層の防御モデルを使用します。

1. ファイアウォール（UFW） -- SSH（22）+ Tailscale（41641/udp）のみを公開
2. VPN（Tailscale） -- ゲートウェイは VPN メッシュ経由でのみアクセス可能
3. Docker 分離 -- DOCKER-USER iptables チェーンが外部ポート公開を防止
4. Systemd ハードニング -- NoNewPrivileges、PrivateTmp、非特権ユーザー

外部攻撃面を確認するには:

nmap -p- YOUR_SERVER_IP

ポート 22（SSH）のみが開いている必要があります。その他すべてのサービス（ゲートウェイ、Docker）はロックダウンされます。

Docker はエージェントサンドボックス（分離されたツール実行）のためにインストールされ、ゲートウェイ自体を実行するためではありません。サンドボックス設定については マルチエージェントサンドボックスとツール を参照してください。

手動インストール

自動化よりも手動で制御したい場合:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Then run: /tmp/openclaw-setup.sh

更新

Ansible インストーラーは、手動更新向けに OpenClaw をセットアップします。標準の更新フローについては 更新 を参照してください。

Ansible playbook を再実行するには（たとえば、設定変更のため）:

cd openclaw-ansible./run-playbook.sh

これは冪等であり、複数回実行しても安全です。

トラブルシューティング

# Check logssudo journalctl -u openclaw -n 100 # Verify permissionssudo ls -la /opt/openclaw # Test manual startsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Verify Docker is runningsudo systemctl status docker # Check sandbox imagesudo docker images | grep openclaw-sandbox # Build sandbox image if missing (requires source checkout)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# For npm installs without a source checkout, see# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login

高度な設定

詳細なセキュリティアーキテクチャとトラブルシューティングについては、openclaw-ansible リポジトリを参照してください。

• セキュリティアーキテクチャ
• 技術的詳細
• トラブルシューティングガイド

関連

• openclaw-ansible -- 完全なデプロイガイド
• Docker -- コンテナ化されたゲートウェイセットアップ
• サンドボックス化 -- エージェントサンドボックス設定
• マルチエージェントサンドボックスとツール -- エージェントごとの分離