Полный гайд по OpenClaw:
рантайм AI-агентов на bare-metal Mac от нуля до прода

Bare metal отличается от одноразового облачного десктопа тем, что вы владеете полным состоянием машины: нет «шумного соседа» на NVMe, но и некому прикрыть провал энергополитики или ночное окно патча ОС. Если Gateway воспринимают как одноразовый скрипт, прилетает «немой» дроп TCP из-за агрессивного сна или переполнение системного тома логами после бурст-сборки.

Перед установкой OpenClaw закрепите ниже как preflight acceptance, а не как постмортем.

• Сон и планирование: ни один power manager не должен обрывать долгоживущие сокеты; шлюз ждёт предсказуемые heartbeat и не любит джиттер таймеров, похожий на неправильный quantum планировщика.
• Диск и кеши: отдельные пути под глобальный npm/pnpm и логи Gateway, чтобы не делить очередь с артефактами билдов на том же томе.
• Egress и TLS: проверьте исходящий HTTPS и inbound-порт на каждом аплинк-файрволе; мультирегион добавляет DNS latency и TLS RTT, не видимые на CPU-графиках.
• Секреты: разнесите ключи провайдеров моделей, OAuth каналов и политику Keychain, чтобы launchctl-диагностика не утянула их в stdout.
• Observability: заранее заготовьте предикаты log stream и файловые sink’и — иначе вы знаете только PID.

Планирование ёмкости меньше про пик CPU и больше про steady-state RAM и tail latency диска. На Apple Silicon предсказуемый single-tenant тайминг CPU напоминает pinned cgroup без шумных соседей, но GC Node при прогреве моделей всё равно даёт всплески — закладывайте запас и параллельный fan-out каналов.

Снимите недельную выборку до обещания SLA downstream: медиана без перцентилей по установке TLS и времени fsync вводит в заблуждение инженеров сети.

Пост безопасности другой: вы не внутри appliance-образа вендора, вы наследуете дефолты macOS. Патч-каденция, админские SSH-ключи и FileVault должны жить в одном runbook с апдейтом Gateway.

Если сравнивать с Linux-мифологией, launchd ближе к связке init + cron + linger-сессий, только без ручного systemd unit-тюнинга cgroup — зато цена ошибки в plist так же болезненна, как битый drop-in у systemd.

Bare metal окупается, когда падает дисперсия: уберите поведение, которое стопорит агентов, прежде чем покупать более горячие чипы.

Одинаковые CLI-команды ведут себя по-разному на разных носителях: ноутбук тащит GUI-сессии и риск сна; шэринговые облака режут кастомные демоны; bare metal даёт изоляцию, но возвращает daemonизацию инженеру. Используйте таблицу на ревью, когда предлагают «просто на запасном Макбуке».

Для CI sidecar iOS/macOS, клиентских bot-gateway и always-on control plane агентов bare metal обычно самый короткий путь совместить latency, изоляцию и аудит.

Берите bare metal, когда нужны воспроизводимые cold boot, предсказуемое планирование CPU под смесь Node и native, и единый владелец патчей. Ноутбук — только для интерактивного bring-up. Шэринг — когда политика запрещает физическое владение, но вы принимаете вариативность I/O и демонов.

На уровне симуляции это как выбирать между pinned CPU в виртуалке и noisy neighbor: таблица просто навешивает цифры на интуицию.

OpenClaw живёт в NPM-мире; минимальная версия Node меняется — перечитайте Setup до копипасты команд. Ниже каркас, не застывший рецепт.

Если репозиторий переедет, ориентируйтесь на эти URL.

https://docs.openclaw.ai/start/setup

https://www.npmjs.com/package/openclaw

1. Архитектура: uname -m → ожидаем arm64; при x86_64 проверьте слой Rosetta.
2. Node: nvm, fnm или официальный pkg; синхронизируйте документированный major и держите node/npm в одном префиксе.
3. Глобальный CLI: npm install -g openclaw@latest, затем which openclaw и openclaw --version.
4. Инициализация: openclaw init или документированный онбординг в отдельной директории, не в Downloads.
5. Секреты: следуйте layout доков для ключей провайдеров и токенов каналов; plaintext в git запрещён.
6. Foreground-proof: openclaw gateway start или эквивалент до появления трафика, потом launchd.

#!/bin/sh
node -v
npm -v
which openclaw
openclaw --version

Если shell не находит openclaw, проверьте глобальный bin в PATH для неинтерактивных launchd-сессий и не смешали ли sudo установки между root и пользователем.

После установки заархивируйте npm ls -g --depth=0 рядом со строкой версии OpenClaw для диффов апдейтов.

Прод не должен висеть на интерактивном SSH: закрытие сессии убивает дерево процессов. На macOS launchd — ваш systemd+cron в одном флаконе: он держит job как долгоживущий supervised процесс. LaunchAgents живут в контексте логина; LaunchDaemons — root и строже аудит. Ниже — user-agent сценарий.

1. Порт слушателя: свободен ли он — смотрите lsof -nP -iTCP до фиксации в конфиге.
2. plist: уникальный Label; ProgramArguments только с абсолютным путём из which openclaw; EnvironmentVariables для PATH и опционально NODE_EXTRA_CA_CERTS при корпоративном MITM и неполной TLS-цепочке.
3. Stdout/stderr: StandardOutPath/StandardErrorPath на ротируемые файлы.
4. Load: launchctl load -w ~/Library/LaunchAgents/ai.openclaw.gateway.plist.
5. Reload: после правок unload → load, иначе останется зомби-слушатель на том же порту.
6. Health: curl или документированный probe до переключения боевого трафика.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
 "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0"><dict>
  <key>Label</key><string>ai.openclaw.gateway</string>
  <key>ProgramArguments</key><array>
    <string>/opt/homebrew/bin/openclaw</string>
    <string>gateway</string><string>start</string>
  </array>
  <key>RunAtLoad</key><true/>
  <key>KeepAlive</key><true/>
</dict></plist>

Путь к бинарнику в plist должен совпасть с реальной машиной: Homebrew на Apple Silicon ≠ shim’ы nvm, launchd это не починит.

Сохраните эталонный вывод launchctl print для здорового инстанса — при инцидентах сравниваете labels, exit-коды и throttle-счётчики за секунды.

Три корзины триажа: нет процесса; процесс есть, но нет LISTEN; LISTEN есть, но upstream режет по TLS/авторизации. У каждой — свой фикс-путь.

• Node major gate: строго по Setup; устаревший runtime часто умирает без человеческого текста ошибки.
• Bind адрес: loopback-only выглядит как «down» для удалённых проб; синхронизируйте security groups.
• Log sinks: без файловых путей под launchd вы летите в чёрный ящик.

Повторяющиеся кейсы требуют синтетической проверки тем же TLS-путём и теми же OAuth-scope, что и живые пользователи — иначе сеть вечно невиновата на словах «TCP же открыт».

1. Закрепить версии: зафиксируйте node, openclaw и SDK каналов в change-тикете.
2. Cold boot drill: reboot из чистой сессии и замерьте SLA подъёма слушателя через launchd.
3. Ротация секретов: отработайте смену ключей моделей и токенов каналов без ручного plist-хака.
4. Backup и rollback: деревья конфигов и сертификаты; храните последнюю рабочую plist.
5. Сэмплинг ёмкости: семь суток CPU, память и write amplification для оценки unified memory tier.
6. Синхрон с доками: перед каждым окном обслуживания перечитайте Setup и release notes.

Самосборные ноутбуки и шэринговые облака обычно ломаются на сне, конкуренции соседей и размытой собственности на демона. Командам, которым нужны стабильные CI sidecar iOS/macOS, AI-agent gateway и аудируемые пути доступа, чаще всего подходит аренда Apple Silicon bare metal в CALMVPS: долгоживущие процессы, расклад диска и поведение аплинка живут в одном предсказуемом конверте, а месячная эластичность прозрачна на странице цен.