Kubernetes

Мінімальна відправна точка для запуску OpenClaw на Kubernetes — не готове до production розгортання. Вона охоплює основні ресурси й призначена для адаптації до вашого середовища.

Чому не Helm?

OpenClaw — це один контейнер із кількома файлами конфігурації. Найважливіша кастомізація міститься у вмісті агентів (Markdown-файли, Skills, перевизначення конфігурації), а не в шаблонізації інфраструктури. Kustomize обробляє оверлеї без накладних витрат Helm chart. Якщо ваше розгортання стане складнішим, Helm chart можна накласти поверх цих маніфестів.

Що потрібно

• Запущений кластер Kubernetes (AKS, EKS, GKE, k3s, kind, OpenShift тощо)
• kubectl, підключений до вашого кластера
• API-ключ принаймні для одного постачальника моделей

Швидкий старт

# Replace with your provider: ANTHROPIC, GEMINI, OPENAI, or OPENROUTERexport <PROVIDER>_API_KEY="..."./scripts/k8s/deploy.sh kubectl port-forward svc/openclaw 18789:18789 -n openclawopen http://localhost:18789

Отримайте налаштований спільний секрет для Control UI. Цей скрипт розгортання за замовчуванням створює автентифікацію через токен:

kubectl get secret openclaw-secrets -n openclaw -o jsonpath='{.data.OPENCLAW_GATEWAY_TOKEN}' | base64 -d

Для локального налагодження ./scripts/k8s/deploy.sh --show-token виводить токен після розгортання.

Локальне тестування з Kind

Якщо у вас немає кластера, створіть його локально за допомогою Kind:

./scripts/k8s/create-kind.sh           # auto-detects docker or podman./scripts/k8s/create-kind.sh --delete  # tear down

Потім розгортайте як зазвичай за допомогою ./scripts/k8s/deploy.sh.

Крок за кроком

1) Розгортання

Варіант A — API-ключ у середовищі (один крок):

# Replace with your provider: ANTHROPIC, GEMINI, OPENAI, or OPENROUTERexport <PROVIDER>_API_KEY="..."./scripts/k8s/deploy.sh

Скрипт створює Kubernetes Secret з API-ключем і автоматично згенерованим токеном Gateway, а потім виконує розгортання. Якщо Secret уже існує, він зберігає поточний токен Gateway і всі ключі постачальників, які не змінюються.

Варіант B — створіть секрет окремо:

export <PROVIDER>_API_KEY="..."./scripts/k8s/deploy.sh --create-secret./scripts/k8s/deploy.sh

Використовуйте --show-token з будь-якою командою, якщо хочете вивести токен у stdout для локального тестування.

2) Доступ до Gateway

kubectl port-forward svc/openclaw 18789:18789 -n openclawopen http://localhost:18789

Що розгортається

Namespace: openclaw (configurable via OPENCLAW_NAMESPACE)├── Deployment/openclaw        # Single pod, init container + gateway├── Service/openclaw           # ClusterIP on port 18789├── PersistentVolumeClaim      # 10Gi for agent state and config├── ConfigMap/openclaw-config  # openclaw.json + AGENTS.md└── Secret/openclaw-secrets    # Gateway token + API keys

Кастомізація

Інструкції агента

Відредагуйте AGENTS.md у scripts/k8s/manifests/configmap.yaml і повторно розгорніть:

./scripts/k8s/deploy.sh

Конфігурація Gateway

Відредагуйте openclaw.json у scripts/k8s/manifests/configmap.yaml. Повну довідку див. у конфігурації Gateway.

Додавання постачальників

Повторно запустіть із додатковими експортованими ключами:

export ANTHROPIC_API_KEY="..."export OPENAI_API_KEY="..."./scripts/k8s/deploy.sh --create-secret./scripts/k8s/deploy.sh

Наявні ключі постачальників залишаються в Secret, якщо ви їх не перезапишете.

Або пропатчіть Secret напряму:

kubectl patch secret openclaw-secrets -n openclaw \  -p '{"stringData":{"<PROVIDER>_API_KEY":"..."}}'kubectl rollout restart deployment/openclaw -n openclaw

Користувацький namespace

OPENCLAW_NAMESPACE=my-namespace ./scripts/k8s/deploy.sh

Користувацький образ

Відредагуйте поле image у scripts/k8s/manifests/deployment.yaml:

image: ghcr.io/openclaw/openclaw:latest # primary; official Docker Hub mirror: openclaw/openclaw:latest

Відкриття доступу поза port-forward

Стандартні маніфести прив’язують Gateway до loopback усередині pod. Це працює з kubectl port-forward, але не працює з Kubernetes Service або шляхом Ingress, якому потрібно досягати IP pod.

Якщо ви хочете відкрити Gateway через Ingress або балансувальник навантаження:

• Змініть прив’язку Gateway у scripts/k8s/manifests/configmap.yaml з loopback на не-loopback-прив’язку, яка відповідає вашій моделі розгортання
• Залиште автентифікацію Gateway увімкненою та використовуйте належну TLS-терміновану точку входу
• Налаштуйте Control UI для віддаленого доступу з використанням підтримуваної моделі веббезпеки (наприклад, HTTPS/Tailscale Serve і явні дозволені origins, коли це потрібно)

Повторне розгортання

./scripts/k8s/deploy.sh

Це застосовує всі маніфести й перезапускає pod, щоб підхопити будь-які зміни конфігурації або секретів.

Видалення

./scripts/k8s/deploy.sh --delete

Це видаляє namespace і всі ресурси в ньому, включно з PVC.

Архітектурні примітки

• Gateway за замовчуванням прив’язується до loopback усередині pod, тому включене налаштування призначене для kubectl port-forward
• Немає ресурсів на рівні кластера — усе розміщено в одному namespace
• Безпека: readOnlyRootFilesystem, можливості drop: ALL, користувач без root-прав (UID 1000)
• Стандартна конфігурація тримає Control UI на безпечнішому шляху локального доступу: прив’язка до loopback плюс kubectl port-forward до http://127.0.0.1:18789
• Якщо ви виходите за межі доступу з localhost, використовуйте підтримувану віддалену модель: HTTPS/Tailscale плюс відповідну прив’язку Gateway і налаштування origin для Control UI
• Секрети генеруються в тимчасовій директорії та застосовуються безпосередньо до кластера — жоден секретний матеріал не записується в checkout репозиторію

Структура файлів

scripts/k8s/├── deploy.sh                   # Creates namespace + secret, deploys via kustomize├── create-kind.sh              # Local Kind cluster (auto-detects docker/podman)└── manifests/    ├── kustomization.yaml      # Kustomize base    ├── configmap.yaml          # openclaw.json + AGENTS.md    ├── deployment.yaml         # Pod spec with security hardening    ├── pvc.yaml                # 10Gi persistent storage    └── service.yaml            # ClusterIP on 18789

Пов’язане

• Docker
• Docker VM runtime
• Огляд встановлення