Управление кластером OpenClaw: держите путь восстановления вне кластера

Если OpenClaw управляет вашим кластером Kubernetes, держите путь восстановления вне кластера. Предоставление OpenClaw доступа к кластеру только для чтения, прав на pull-request и пути развертывания GitOps с проверкой человеком — это надежный шаблон. Остается вопрос: где должен жить сам OpenClaw?

Проблема: внутри кластера

Если единственный Gateway, состояние задач и инструменты восстановления работают внутри управляемого кластера, серьезный сбой кластера может лишить вас и рабочей нагрузки, и системы, предназначенной для ее диагностики. Другой под в том же кластере не защитит от отказа control-plane, хранилища или сети.

Рекомендуемая топология

Более безопасный подход:

• OpenClaw Gateway и состояние задач находятся вне целевого кластера — на выделенном хосте, как описано в документации OpenClaw по удаленному доступу.
• Используйте идентификацию только для чтения для доступа к журналам и статусу кластера.
• Изменения проходят через ветка → PR → CI → слияние человеком → Argo CD, с чтением состояния кластера в реальном времени.

RBAC с минимальными привилегиями

Внутри Kubernetes используйте выделенную учетную запись службы с минимально возможными разрешениями в рамках namespace. Избегайте доступа к секретам, подстановочных знаков, cluster-admin и прямых прав на patch или delete. Текущие рекомендации Kubernetes по RBAC советуют такой подход с минимальными привилегиями.

Путь развертывания GitOps

Пусть OpenClaw создает pull request. CI и проверки политик оценивают его, человек одобряет слияние, затем Argo CD синхронизирует Git с кластером. Документация Argo CD по автоматической синхронизации подтверждает, что развертывание может управляться из Git без предоставления инициирующему процессу прямого доступа к развертыванию.

Шаги проверки

Проверьте путь восстановления:

• Проведите тест недоступности непроизводственного кластера: убедитесь, что OpenClaw остается доступным, сохраняет задачу и сообщает результат как заблокировано или неизвестно — не как успех.
• Отправьте безобидное изменение манифеста и подтвердите, что оно создает только pull request (без прямого развертывания).
• После одобрения проверьте объединенный коммит, ревизию Argo CD и состояние реальных ресурсов.

Где вы храните авторитет восстановления и состояние задач для инфраструктуры, которой управляет ваш OpenClaw?