---
read_when:
    - Ви встановлюєте, налаштовуєте або аудіюєте плагін політик
summary: Додає перевірки doctor, підкріплені політикою, для відповідності робочого простору.
title: Plugin політик
x-i18n:
    generated_at: "2026-06-27T18:01:25Z"
    model: gpt-5.5
    postprocess_version: locale-links-v1
    provider: openai
    source_hash: f01de4816a191a175367c06ff69e4ebf6032ee1a105d1d9a48a74093e5e6f774
    source_path: plugins/reference/policy.md
    workflow: 16
---

# Plugin політик

Додає перевірки doctor на основі політик для відповідності робочого простору.

## Розповсюдження

- Пакет: `@openclaw/policy`
- Маршрут встановлення: включено в OpenClaw

## Поверхня

плагін

<!-- openclaw-plugin-reference:manual-start -->

## Поведінка

Plugin політик додає перевірки справності doctor для керованих політиками
налаштувань OpenClaw і регламентованих декларацій робочого простору. Наразі політика охоплює
відповідність каналів, регламентовані метадані інструментів, стан сервера MCP, стан постачальника моделей,
стан доступу до приватної мережі, стан відкритості Gateway,
стан робочого простору/інструментів агента, стан налаштованих глобальних інструментів та інструментів на рівні агента,
стан налаштованого середовища виконання sandbox, стан доступу ingress/каналів, стан обробки даних і стан постачальника секретів конфігурації OpenClaw
та профілю автентифікації.

Політика зберігає створені вимоги в `policy.jsonc`, спостерігає наявні
налаштування OpenClaw і декларації робочого простору як докази та повідомляє про відхилення
через `openclaw policy check` і `openclaw doctor --lint`. Чиста перевірка політики
виводить політику, докази, знахідки та хеші атестації, які оператори
можуть записати для аудиту.

`openclaw policy compare --baseline <file>` порівнює один файл політики з іншим
файлом політики. Це лише відповідність на рівні конфігурації: команда використовує метадані правил політики,
щоб перевірити, що перевірювана політика не пропускає вимог і не є слабшою за створений
базовий файл, і не перевіряє стан середовища виконання, облікові дані чи значення секретів.

Правила стану інструментів можуть вимагати затверджені профілі, інструменти файлової системи
лише для робочого простору, обмежені налаштування безпеки/запиту/хоста для exec, вимкнений режим підвищених привілеїв, точні
записи `alsoAllow` і обов’язкові записи заборони інструментів. Докази записують
додаткові записи `alsoAllow`, оскільки вони можуть розширювати ефективний стан інструментів.
Ці перевірки спостерігають лише відповідність конфігурації; вони не читають стан підтвердження
середовища виконання й не додають примусове застосування під час виконання.

Правила стану sandbox можуть вимагати затверджені режими/бекенди sandbox, забороняти мережевий доступ контейнера до хоста, забороняти приєднання до просторів імен контейнерів, вимагати контейнерні
монтування лише для читання, забороняти монтування сокетів середовища виконання контейнерів і необмежені профілі контейнерів,
а також вимагати діапазони джерел CDP для браузера sandbox.
Ці перевірки спостерігають лише відповідність конфігурації; вони не читають стан підтвердження
середовища виконання, не перевіряють активні контейнери й не додають примусове застосування під час виконання.

Правила обробки даних можуть вимагати редагування чутливих даних у журналах, забороняти захоплення
вмісту телеметрії, вимагати обслуговування зберігання сесій і забороняти індексування пам’яті
транскриптів сесій. Ці перевірки спостерігають лише відповідність конфігурації; вони
не перевіряють сирі журнали, експорти телеметрії, транскрипти, файли пам’яті, секрети
чи персональні дані.

Іменовані області політики в `scopes.<scopeName>` можуть додавати суворіші звичайні розділи політики
для вказаного ними селектора. `agentIds` підтримує `tools`,
`agents.workspace`, `sandbox` і `dataHandling.memory`; `channelIds` підтримує
`ingress.channels`.
Ідентифікатори агентів середовища виконання, які не вказані явно в `agents.list[]`, перевіряються
щодо успадкованого глобального/типового стану, а не мовчки проходять без
доказів. Кожна область, наявна в `policy.jsonc`, має бути чинною та придатною до примусового застосування
для свого селектора. Правила накладання є додатковими твердженнями, тому вони не послаблюють
політику верхнього рівня й можуть створювати власні знахідки, коли та сама спостережувана
конфігурація порушує обидві області.

<!-- openclaw-plugin-reference:manual-end -->

## Пов’язані документи

- [політика](/uk/cli/policy)