openclaw-deployment-hardening

OpenClaw 部署加固

使用此技能为 OpenClaw 构建和部署工作流添加可重复执行的安全门禁。

强制执行安全构建流水线

在制品晋级前，在 CI 中添加强制控制：

1. 依赖项和锁定文件漏洞扫描（发现严重 CVE 时失败）。
2. 扫描镜像中的操作系统／软件包漏洞。
3. 扫描源代码和构建上下文中的机密信息。
4. 生成 SBOM 并为制品签名。
5. 执行策略检查，控制未通过时阻止部署。

CI 步骤顺序示例：

# Build
npm ci
npm run build

# Security gates
trivy fs .
trivy image my-registry/openclaw:${GIT_SHA}
syft my-registry/openclaw:${GIT_SHA} -o spdx-json > sbom.json
cosign sign --key cosign.key my-registry/openclaw:${GIT_SHA}

锁定容器运行时

使用严格的默认配置运行 OpenClaw：

• 容器内使用非 root 用户
• 尽可能将根文件系统设为只读
• 删除所有 Linux 能力，仅添加必需项
• 启用 no-new-privileges
• 限制 CPU／内存，以降低滥用造成的影响
• 强制执行 Seccomp／AppArmor（或同等）配置文件

Kubernetes 相关要求：

• runAsNonRoot: true
• allowPrivilegeEscalation: false
• readOnlyRootFilesystem: true
• 以网络策略默认拒绝所有流量，并显式配置允许规则

设置生产环境晋级门禁

要求通过明确的晋级检查：

• 安全团队批准 CVE 例外。
• 在部署阶段验证制品签名。
• 检查预期清单值与实际运行值之间的偏差。
• 仅从不可变标签或摘要进行部署。

避免在生产环境的 OpenClaw 服务中使用可变的 latest 标签。

保护数据和会话边界

• 根据策略尽量减少提示词／响应的保留时间。
• 将日志发送至 SIEM 前，对机密信息和个人身份信息（PII）进行脱敏。
• 加密持久卷和备份。
• 为多个团队提供服务时，隔离租户／会话数据边界。

部署后验证

部署完成后立即运行加固冒烟测试：

kubectl get pods -n openclaw
kubectl auth can-i --as=system:serviceaccount:openclaw:default list secrets -n openclaw
kubectl get networkpolicy -n openclaw
kubectl logs deploy/openclaw -n openclaw --tail=200

验证：

• Pod 安全上下文符合策略。
• 服务账户权限遵循最小权限原则。
• Ingress 身份验证／速率限制有效。
• 日志中不含明文机密信息。

适用于事件响应的回滚模式

维护经过加固的回滚工作流：

1. 暂停后续部署。
2. 撤销可疑令牌并轮换机密信息。
3. 回滚至最近一个已签名且确认安全的镜像摘要。
4. 重新运行部署后加固验证。
5. 收集时间线和制品，以供取证。

相关技能

• container-hardening - 容器安全基线控制
• kubernetes-hardening - Pod 和集群加固模式
• sbom-supply-chain - SBOM、签名和来源证明控制