Ansible

Stellen Sie OpenClaw mit openclaw-ansible auf Produktionsservern bereit -- einem automatisierten Installer mit sicherheitsorientierter Architektur.

# Voraussetzungen

# Was Sie erhalten

• Firewall-First-Sicherheit -- UFW + Docker-Isolierung (nur SSH + Tailscale zugänglich)
• Tailscale-VPN -- sicherer Remote-Zugriff, ohne Dienste öffentlich freizugeben
• Docker -- isolierte Sandbox-Container, nur localhost-Bindungen
• Defense in Depth -- 4-Schichten-Sicherheitsarchitektur
• Systemd-Integration -- automatischer Start beim Booten mit Härtung
• Ein-Befehl-Einrichtung -- vollständige Bereitstellung in Minuten

# Schnellstart

Installation mit einem Befehl:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

# Was installiert wird

Das Ansible-Playbook installiert und konfiguriert:

1. Tailscale -- Mesh-VPN für sicheren Remote-Zugriff
2. UFW-Firewall -- nur SSH- + Tailscale-Ports
3. Docker CE + Compose V2 -- für das Standard-Backend der Agent-Sandbox
4. Node.js 24 + pnpm -- Laufzeitabhängigkeiten (Node 22 LTS, derzeit 22.16+, bleibt unterstützt)
5. OpenClaw -- hostbasiert, nicht containerisiert
6. Systemd-Dienst -- automatischer Start mit Sicherheitshärtung

# Einrichtung nach der Installation

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclaw
sudo journalctl -u openclaw -f

# Schnellbefehle

# Dienststatus prüfen
sudo systemctl status openclaw

# Live-Logs anzeigen
sudo journalctl -u openclaw -f

# Gateway neu starten
sudo systemctl restart openclaw

# Provider-Anmeldung (als openclaw-Benutzer ausführen)
sudo -i -u openclaw
openclaw channels login

# Sicherheitsarchitektur

Die Bereitstellung verwendet ein 4-Schichten-Verteidigungsmodell:

1. Firewall (UFW) -- nur SSH (22) + Tailscale (41641/udp) öffentlich freigegeben
2. VPN (Tailscale) -- Gateway nur über das VPN-Mesh erreichbar
3. Docker-Isolierung -- DOCKER-USER-iptables-Kette verhindert externe Portfreigaben
4. Systemd-Härtung -- NoNewPrivileges, PrivateTmp, nicht privilegierter Benutzer

So überprüfen Sie Ihre externe Angriffsfläche:

nmap -p- YOUR_SERVER_IP

Nur Port 22 (SSH) sollte geöffnet sein. Alle anderen Dienste (Gateway, Docker) sind abgesichert.

Docker wird für Agent-Sandboxes (isolierte Tool-Ausführung) installiert, nicht für den Betrieb des Gateways selbst. Siehe Multi-Agent-Sandbox und Tools zur Sandbox-Konfiguration.

# Manuelle Installation

Wenn Sie die Automatisierung lieber manuell steuern möchten:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.git
cd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass
# Danach ausführen: /tmp/openclaw-setup.sh

# Aktualisierung

Der Ansible-Installer richtet OpenClaw für manuelle Updates ein. Siehe Aktualisierung für den standardmäßigen Aktualisierungsablauf.

So führen Sie das Ansible-Playbook erneut aus (zum Beispiel für Konfigurationsänderungen):

cd openclaw-ansible
./run-playbook.sh

Dies ist idempotent und kann sicher mehrfach ausgeführt werden.

# Fehlerbehebung

# Logs prüfen
sudo journalctl -u openclaw -n 100

# Berechtigungen überprüfen
sudo ls -la /opt/openclaw

# Manuellen Start testen
sudo -i -u openclaw
cd ~/openclaw
openclaw gateway run

# Überprüfen, ob Docker läuft
sudo systemctl status docker

# Sandbox-Image prüfen
sudo docker images | grep openclaw-sandbox

# Sandbox-Image erstellen, falls es fehlt (erfordert Source-Checkout)
cd /opt/openclaw/openclaw
sudo -u openclaw ./scripts/sandbox-setup.sh
# Für npm-Installationen ohne Source-Checkout siehe
# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclaw
openclaw channels login

# Erweiterte Konfiguration

Ausführliche Informationen zur Sicherheitsarchitektur und Fehlerbehebung finden Sie im openclaw-ansible-Repo:

• Sicherheitsarchitektur
• Technische Details
• Fehlerbehebungsleitfaden

# Verwandte Themen

• openclaw-ansible -- vollständiger Bereitstellungsleitfaden
• Docker -- containerisierte Gateway-Einrichtung
• Sandboxing -- Agent-Sandbox-Konfiguration
• Multi-Agent-Sandbox und Tools -- Isolierung pro Agent