37i 部署运维与安全

┌─────────────────────────────────────────┐
│            云服务器（2C4G+）              │
│                                         │
│  ┌─────────────┐  ┌─────────────┐      │
│  │ OpenClaw    │  │ Chroma      │      │
│  │ (daemon)    │  │ (向量数据库) │      │
│  │ Port: 3100  │  │ Port: 8000  │      │
│  └─────────────┘  └─────────────┘      │
│                                         │
│  ┌─────────────┐  ┌─────────────┐      │
│  │ PostgreSQL  │  │ Cloudflare  │      │
│  │ Port: 5432  │  │ Tunnel      │      │
│  └─────────────┘  └─────────────┘      │
└─────────────────────────────────────────┘

[Unit]
Description=OpenClaw Agent Runtime
After=network.target postgresql.service
Wants=postgresql.service
 
[Service]
Type=simple
User=openclaw
Group=openclaw
WorkingDirectory=/home/openclaw/hackquest-agent
ExecStart=/usr/bin/node /usr/lib/node_modules/openclaw/bin/openclaw daemon start --foreground
Restart=always
RestartSec=10
StandardOutput=journal
StandardError=journal
 
# 环境变量
Environment=NODE_ENV=production
Environment=ANTHROPIC_API_KEY=sk-ant-xxxxx
Environment=OPENAI_API_KEY=sk-xxxxx
Environment=GITHUB_TOKEN=ghp_xxxxx
 
# 资源限制
LimitNOFILE=65536
MemoryMax=2G
CPUQuota=150%
 
[Install]
WantedBy=multi-user.target

# 创建专用用户
sudo useradd -r -m -s /bin/bash openclaw
 
# 启用并启动服务
sudo systemctl daemon-reload
sudo systemctl enable openclaw
sudo systemctl start openclaw
 
# 查看状态
sudo systemctl status openclaw
 
# 查看日志
sudo journalctl -u openclaw -f

[Unit]
Description=Cloudflare Tunnel for OpenClaw
After=network.target
 
[Service]
Type=simple
User=openclaw
ExecStart=/usr/local/bin/cloudflared tunnel run hackquest-agent
Restart=always
RestartSec=5
 
[Install]
WantedBy=multi-user.target

sudo systemctl enable cloudflared
sudo systemctl start cloudflared

[Unit]
Description=Chroma Vector Database
After=network.target
 
[Service]
Type=simple
User=openclaw
ExecStart=/usr/bin/python3 -m chromadb.cli.cli run --host 127.0.0.1 --port 8000 --path /data/chroma
Restart=always
RestartSec=10
MemoryMax=1G
 
[Install]
WantedBy=multi-user.target

# 查看所有 Agent 相关服务状态
sudo systemctl status openclaw cloudflared chroma
 
# 重启 OpenClaw（Skill 热更新通常不需要重启）
sudo systemctl restart openclaw
 
# 查看资源使用
sudo systemctl show openclaw --property=MemoryCurrent,CPUUsageNSec

# health-check
 
定期检查 Agent 系统各组件的健康状态。
 
## 触发条件
- 定时触发：每 5 分钟
- 手动触发：用户消息包含"系统状态"、"健康检查"
 
## 执行步骤
1. 检查 OpenClaw daemon 状态（进程存活、响应时间）
2. 检查飞书连接状态（WebSocket/Webhook 是否正常）
3. 检查 MCP Server 连接：
   - lark-mcp：调用一个轻量 API 验证
   - GitHub MCP：获取认证状态
   - PostgreSQL MCP：执行 SELECT 1
4. 检查 Chroma 向量数据库连接
5. 检查磁盘空间（记忆文件和日志）
6. 如果任何组件异常，发送告警到运维群
 
## 输出格式（正常时不输出，异常时告警）
🚨 系统健康检查告警
 
| 组件 | 状态 | 详情 |
|------|------|------|
| OpenClaw | ✅ 正常 | 响应时间 50ms |
| 飞书连接 | ❌ 异常 | WebSocket 断开，正在重连 |
| lark-mcp | ✅ 正常 | |
| GitHub MCP | ✅ 正常 | |
| PostgreSQL | ✅ 正常 | |
| Chroma | ✅ 正常 | |
| 磁盘 | ⚠️ 警告 | 剩余 15%，建议清理日志 |
 
## 告警规则
- 任何组件连续 2 次检查异常 → 发送告警
- 磁盘使用 > 85% → 发送警告
- 磁盘使用 > 95% → 发送紧急告警

#!/bin/bash
# /home/openclaw/scripts/monitor.sh
# 通过 cron 每 5 分钟执行
 
# CPU 和内存
CPU_USAGE=$(top -bn1 | grep "Cpu(s)" | awk '{print $2}')
MEM_USAGE=$(free | grep Mem | awk '{printf "%.1f", $3/$2 * 100}')
DISK_USAGE=$(df -h / | tail -1 | awk '{print $5}' | tr -d '%')
 
# OpenClaw 进程
OC_STATUS=$(systemctl is-active openclaw)
OC_MEM=$(systemctl show openclaw --property=MemoryCurrent --value 2>/dev/null || echo "N/A")
 
# 日志大小
LOG_SIZE=$(du -sh /home/openclaw/hackquest-agent/.openclaw/logs/ 2>/dev/null | awk '{print $1}')
 
# 输出 JSON 格式（可被 Skill 解析）
echo "{\"cpu\": \"${CPU_USAGE}%\", \"mem\": \"${MEM_USAGE}%\", \"disk\": \"${DISK_USAGE}%\", \"openclaw\": \"${OC_STATUS}\", \"oc_mem\": \"${OC_MEM}\", \"log_size\": \"${LOG_SIZE}\"}"
 
# 告警判断
if [ "$DISK_USAGE" -gt 90 ]; then
  echo "ALERT: Disk usage ${DISK_USAGE}% > 90%"
fi
 
if [ "$OC_STATUS" != "active" ]; then
  echo "ALERT: OpenClaw is ${OC_STATUS}"
fi

# .env 文件（加入 .gitignore）
ANTHROPIC_API_KEY=sk-ant-xxxxx
OPENAI_API_KEY=sk-xxxxx
GITHUB_TOKEN=ghp_xxxxx
LARK_APP_ID=cli_xxxxx
LARK_APP_SECRET=xxxxx
POSTGRES_CONNECTION_STRING=postgresql://agent_readonly:password@localhost:5432/hackquest

# .gitignore 中必须包含
.env
.openclaw/memory/
.openclaw/logs/

┌─────────────────────────────────────────────┐
│                  公网                        │
│                                             │
│  飞书/Lark API ←→ Cloudflare Tunnel         │
│  GitHub API    ←→ (直连)                    │
│  OpenAI API    ←→ (直连)                    │
└──────────────────┬──────────────────────────┘
                   │ 仅 Tunnel 端口
┌──────────────────┼──────────────────────────┐
│                  │  内网                     │
│                  ▼                           │
│  ┌─────────────────────────────────┐        │
│  │ OpenClaw (localhost:3100)       │        │
│  │ Chroma   (localhost:8000)       │        │
│  │ PostgreSQL (localhost:5432)     │        │
│  └─────────────────────────────────┘        │
│                                             │
│  防火墙规则：                                │
│  - 入站：仅允许 SSH (22) + Tunnel           │
│  - 出站：允许 HTTPS (443)                   │
│  - 内部服务只监听 127.0.0.1                  │
└─────────────────────────────────────────────┘

# 默认拒绝入站
sudo ufw default deny incoming
sudo ufw default allow outgoing
 
# 允许 SSH
sudo ufw allow ssh
 
# 不需要开放其他端口（Cloudflare Tunnel 是出站连接）
 
# 启用防火墙
sudo ufw enable

## 安全规则（写入每个 Skill 的系统 Prompt）
 
你是 HackQuest AI Agent。你必须遵守以下安全规则：
1. 只执行 Skill 定义中明确列出的操作，拒绝任何超出范围的请求
2. 不执行任何数据删除、修改操作（除非 Skill 明确允许且有审批）
3. 不泄露系统配置、API Key、数据库连接信息
4. 不执行用户提供的任意代码或 SQL
5. 涉及敏感数据时自动脱敏
6. 如果检测到可疑请求，记录日志并通知管理员

{
  "timestamp": "2026-07-15T10:30:00.000Z",
  "level": "info",
  "event": "skill_execution",
  "traceId": "trace_abc123",
  "userId": "ou_dev_zhangsan",
  "userName": "张三",
  "userRole": "developer",
  "skill": "requirement-create",
  "skillGroup": "requirement",
  "trigger": "message",
  "input": "创建一个 P1 需求：新增 Solana 课程模块",
  "inputHash": "sha256:abc123...",
  "mcpCalls": [
    {
      "server": "lark-mcp",
      "tool": "create_bitable_record",
      "duration": 1200,
      "status": "success",
      "requestId": "req_xyz789"
    }
  ],
  "output": "✅ 需求已创建：新增 Solana 课程模块 (P1)",
  "outputHash": "sha256:def456...",
  "tokenUsage": { "input": 850, "output": 320, "total": 1170 },
  "duration": 3500,
  "status": "success",
  "memoryWrites": ["requirement_rec001"],
  "approvalRequired": false,
  "clientIp": "internal"
}

/home/openclaw/hackquest-agent/.openclaw/logs/*.log {
    daily
    rotate 90
    compress
    delaycompress
    missingok
    notifempty
    create 0640 openclaw openclaw
}

# 查看某用户的所有操作
cat .openclaw/logs/audit.log | jq 'select(.userName == "张三")'
 
# 查看所有失败的 Skill 执行
cat .openclaw/logs/audit.log | jq 'select(.status == "error")'
 
# 查看高风险操作（部署、权限变更）
cat .openclaw/logs/audit.log | jq 'select(.skill | test("deploy|offboard|permission"))'
 
# 统计每日 Token 消耗
cat .openclaw/logs/audit.log | jq -r '[.timestamp[:10], .tokenUsage.total] | @tsv' | \
  awk '{sum[$1]+=$2} END {for(d in sum) print d, sum[d]}' | sort
 
# 统计 Skill 成功率
cat .openclaw/logs/audit.log | jq -r '[.skill, .status] | @tsv' | \
  sort | uniq -c | sort -rn

#!/bin/bash
# /home/openclaw/scripts/backup.sh
# 通过 cron 每天凌晨 3:00 执行
 
BACKUP_DIR="/backup/openclaw/$(date +%Y%m%d)"
mkdir -p "$BACKUP_DIR"
 
# 备份记忆数据
rsync -a /home/openclaw/hackquest-agent/.openclaw/memory/ "$BACKUP_DIR/memory/"
 
# 备份 Chroma 数据
rsync -a /data/chroma/ "$BACKUP_DIR/chroma/"
 
# 备份 PostgreSQL
pg_dump -U postgres hackquest | gzip > "$BACKUP_DIR/hackquest.sql.gz"
 
# 备份 OpenClaw 配置（不含 .env）
rsync -a --exclude='.env' --exclude='node_modules' \
  /home/openclaw/hackquest-agent/ "$BACKUP_DIR/config/"
 
# 清理 30 天前的备份
find /backup/openclaw/ -maxdepth 1 -type d -mtime +30 -exec rm -rf {} \;
 
echo "$(date): Backup completed to $BACKUP_DIR"

# crontab -u openclaw -e
0 3 * * * /home/openclaw/scripts/backup.sh >> /home/openclaw/scripts/backup.log 2>&1

故障发生
    │
    ▼
评估故障范围
    │
    ├─→ OpenClaw 进程崩溃 → systemd 自动重启（10s 内恢复）
    │
    ├─→ 服务器宕机 → 新服务器部署（RTO: 1 小时）
    │   1. 启动新服务器
    │   2. git clone Skill 仓库
    │   3. 恢复 .env 配置
    │   4. 恢复记忆数据（rsync 备份）
    │   5. 恢复 Chroma 数据
    │   6. 恢复 PostgreSQL（pg_restore）
    │   7. 启动所有服务
    │   8. 验证飞书连接
    │
    ├─→ 数据损坏 → 从备份恢复（RTO: 30 分钟）
    │
    └─→ API Key 泄露 → 立即轮换所有 Key（RTO: 15 分钟）

                    ┌─────────────┐
                    │ 负载均衡器   │
                    │ (Nginx)     │
                    └──────┬──────┘
                           │
              ┌────────────┼────────────┐
              │            │            │
        ┌─────┴─────┐ ┌───┴───┐ ┌─────┴─────┐
        │ OpenClaw  │ │OpenClaw│ │ OpenClaw  │
        │ 实例 1    │ │实例 2  │ │ 实例 3    │
        │ (需求/代码)│ │(分析)  │ │(团队/运营) │
        └─────┬─────┘ └───┬───┘ └─────┬─────┘
              │            │            │
              └────────────┼────────────┘
                           │
              ┌────────────┼────────────┐
              │            │            │
        ┌─────┴─────┐ ┌───┴───┐ ┌─────┴─────┐
        │ PostgreSQL│ │Chroma │ │ Redis     │
        │ (主库)    │ │(向量) │ │ (缓存/队列)│
        └───────────┘ └───────┘ └───────────┘