Documentation Index
Fetch the complete documentation index at: https://docs.openclaw.ai/llms.txt
Use this file to discover all available pages before exploring further.
openclaw devices
Beheer apparaatkoppelingsaanvragen en tokens met apparaatscope.
Commando’s
openclaw devices list
Toon koppelingsaanvragen in behandeling en gekoppelde apparaten.
openclaw devices remove <deviceId>
Verwijder één gekoppelde apparaatvermelding.
Wanneer je bent geauthenticeerd met een gekoppeld apparaattoken, kunnen niet-adminaanroepers
alleen hun eigen apparaatvermelding verwijderen. Het verwijderen van een ander apparaat vereist
operator.admin.
openclaw devices clear --yes [--pending]
Wis gekoppelde apparaten in bulk.
openclaw devices approve [requestId] [--latest]
Keur een apparaatkoppelingsaanvraag in behandeling goed met de exacte requestId. Als requestId
wordt weggelaten of --latest wordt doorgegeven, drukt OpenClaw alleen de geselecteerde aanvraag
in behandeling af en sluit af; voer goedkeuring opnieuw uit met de exacte aanvraag-ID nadat je
de details hebt gecontroleerd.
Als een apparaat opnieuw probeert te koppelen met gewijzigde authgegevens (rol, scopes of publieke sleutel), vervangt OpenClaw de eerdere vermelding in behandeling en geeft het een nieuwe
requestId uit. Voer openclaw devices list direct vóór goedkeuring uit om de huidige ID te gebruiken.Requested versus Approved in openclaw devices list
of gebruik openclaw devices approve --latest om de exacte upgrade vooraf te bekijken voordat
je deze goedkeurt.
Als de Gateway expliciet is geconfigureerd met
gateway.nodes.pairing.autoApproveCidrs, kunnen eerste role: node-aanvragen van
overeenkomende client-IP’s worden goedgekeurd voordat ze in deze lijst verschijnen. Dat beleid
is standaard uitgeschakeld en is nooit van toepassing op operator-/browserclients of upgradeaanvragen.
openclaw devices reject <requestId>
Wijs een apparaatkoppelingsaanvraag in behandeling af.
openclaw devices rotate --device <id> --role <role> [--scope <scope...>]
Roteer een apparaattoken voor een specifieke rol (optioneel met bijgewerkte scopes).
De doelrol moet al bestaan in het goedgekeurde koppelingscontract van dat apparaat;
rotatie kan geen nieuwe niet-goedgekeurde rol uitgeven.
Als je --scope weglaat, hergebruiken latere herverbindingen met het opgeslagen geroteerde token
de gecachte goedgekeurde scopes van dat token. Als je expliciete --scope-waarden doorgeeft, worden die
de opgeslagen scopeset voor toekomstige herverbindingen met gecachte tokens.
Niet-adminaanroepers met een gekoppeld apparaat kunnen alleen hun eigen apparaattoken roteren.
De scopeset van het doeltoken moet binnen de eigen operatorscopes van de aanroepersessie blijven;
rotatie kan geen breder operatortoken uitgeven of behouden dan de aanroeper al heeft.
openclaw devices revoke --device <id> --role <role>
Trek een apparaattoken voor een specifieke rol in.
Niet-adminaanroepers met een gekoppeld apparaat kunnen alleen hun eigen apparaattoken intrekken.
Het intrekken van het token van een ander apparaat vereist operator.admin.
De scopeset van het doeltoken moet ook binnen de eigen operatorscopes van de aanroepersessie passen;
aanroepers met alleen koppeling kunnen geen admin-/schrijf-operatortokens intrekken.
Algemene opties
--url <url>: Gateway WebSocket-URL (standaardgateway.remote.urlwanneer geconfigureerd).--token <token>: Gateway-token (indien vereist).--password <password>: Gateway-wachtwoord (wachtwoordauthenticatie).--timeout <ms>: RPC-time-out.--json: JSON-uitvoer (aanbevolen voor scripting).
Opmerkingen
- Tokenrotatie geeft een nieuw token terug (gevoelig). Behandel het als een geheim.
- Deze commando’s vereisen de scope
operator.pairing(ofoperator.admin). Sommige goedkeuringen vereisen ook dat de aanroeper de operatorscopes bezit die het doelapparaat zou uitgeven of erven; zie Operatorscopes. gateway.nodes.pairing.autoApproveCidrsis een opt-in Gateway-beleid uitsluitend voor het koppelen van nieuwe node-apparaten; het wijzigt de goedkeuringsbevoegdheid van de CLI niet.- Tokenrotatie en -intrekking blijven binnen de goedgekeurde koppelingsrollenset en goedgekeurde scopebasislijn voor dat apparaat. Een verdwaalde gecachte tokenvermelding verleent geen doel voor tokenbeheer.
- Voor gekoppelde-apparaattokensessies is beheer tussen apparaten alleen voor admins:
remove,rotateenrevokezijn alleen voor het eigen apparaat, tenzij de aanroeperoperator.adminheeft. - Tokenmutatie is ook beperkt tot de scope van de aanroeper: een sessie met alleen koppeling kan geen
token roteren of intrekken dat momenteel
operator.adminofoperator.writedraagt. devices clearwordt bewust afgeschermd met--yes.- Als koppelingsscope niet beschikbaar is op local loopback (en er geen expliciete
--urlis doorgegeven), kunnen list/approve een lokale koppelingsfallback gebruiken. devices approvevereist een expliciete aanvraag-ID voordat tokens worden uitgegeven; het weglaten vanrequestIdof doorgeven van--latesttoont alleen een voorbeeld van de nieuwste aanvraag in behandeling.
Checklist voor herstel bij tokenafwijking
Gebruik dit wanneer Control-UI of andere clients blijven falen metAUTH_TOKEN_MISMATCH, AUTH_DEVICE_TOKEN_MISMATCH of AUTH_SCOPE_MISMATCH.
- Bevestig de huidige bron van het Gateway-token:
- Toon gekoppelde apparaten en identificeer de betrokken apparaat-ID:
- Roteer het operatortoken voor het betrokken apparaat:
- Als rotatie niet genoeg is, verwijder dan de verouderde koppeling en keur opnieuw goed:
- Probeer de clientverbinding opnieuw met het huidige gedeelde token/wachtwoord.
- De normale authprioriteit bij opnieuw verbinden is eerst expliciet gedeeld token/wachtwoord, daarna expliciete
deviceToken, daarna opgeslagen apparaattoken en daarna bootstrap-token. - Vertrouwd
AUTH_TOKEN_MISMATCH-herstel kan tijdelijk zowel het gedeelde token als het opgeslagen apparaattoken samen verzenden voor die ene begrensde nieuwe poging. AUTH_SCOPE_MISMATCHbetekent dat het apparaattoken is herkend maar niet de aangevraagde scopeset draagt; herstel het koppelings-/scopegoedkeuringscontract voordat je gedeelde Gateway-auth wijzigt.