Elastic Compute Service：基於 g9i TDX 機密計算執行個體一鍵構建 OpenClaw 機密 AI Agent

安全架構

Confidential Agent部署中的核心資料均在TEE（Trusted Execution Environment，可信執行環境）邊界內閉環流轉，以下資產受到保護：

安全架構自底向上覆蓋硬體、啟動鏈、運行時、密鑰和通訊五個層級：

部署架構

部署流程如下：

1. 憑證準備：在部署機上匯出阿里雲AccessKey、百鍊API Key和DingTalk憑據（可選）。

2. 一鍵部署：執行一鍵部署指令碼，自動完成依賴安裝、可信鏡像構建、參考值上傳、雲資源建立、遠程證明和機密資源注入。

3. 建立加密通道：指令碼自動啟動TNG connect隧道，建立部署機與TDX執行個體之間的RATS-TLS加密通道。

4. 訪問服務：通過DingTalk、Web、案頭用戶端或TUI訪問OpenClaw，所有流量經RATS-TLS加密通道進入TDX執行個體。

步驟一：準備憑證

一鍵部署指令碼需要通過阿里雲AccessKey建立雲資源（ECS執行個體、VPC、安全性群組等），通過百鍊API Key為OpenClaw提供模型推理能力。在部署機上執行以下命令，將憑證匯出為環境變數。請將角括弧中的預留位置替換為實際值。

export ALICLOUD_ACCESS_KEY="<YOUR_ACCESS_KEY>"
export ALICLOUD_SECRET_KEY="<YOUR_SECRET_KEY>"
export DASHSCOPE_API_KEY="<YOUR_DASHSCOPE_API_KEY>"

如需啟用DingTalk接入，繼續執行以下命令。請將佔位符替換為DingTalk企業內部應用的實際憑據。

export DINGTALK_BOT_CLIENT_ID="<YOUR_DINGTALK_CLIENT_ID>"
export DINGTALK_BOT_CLIENT_SECRET="<YOUR_DINGTALK_CLIENT_SECRET>"

其中<YOUR_DINGTALK_CLIENT_ID>和<YOUR_DINGTALK_CLIENT_SECRET>為DingTalk企業內部應用的Client ID和Client Secret，在DingTalk開發人員後台建立應用後擷取。

步驟二：執行一鍵部署

在部署機上執行以下命令進入互動式部署：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh

指令碼預設進入互動模式，會自動詢問缺失的阿里雲憑證、百鍊API Key、DingTalk憑據、OpenClaw Gateway Token和operator CIDR。常用預設配置如下：

一鍵指令碼會自動探測部署機公網出口IP，並在互動模式下詢問operator access CIDR：

非互動部署樣本：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- deploy-openclaw \
  --non-interactive \
  --yes \
  --region cn-beijing \
  --zone-id cn-beijing-i \
  --instance-type ecs.g9i.xlarge \
  --disk-gb 200 \
  --enable-dingtalk

如需僅安裝本機依賴、構建Confidential Agent組件和tools鏡像，不建立雲資源，執行以下命令：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- install-only

非互動指定CIDR樣本：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- deploy-openclaw \
  --non-interactive \
  --yes \
  --allowed-cidr 203.0.113.10/32

步驟三：等待部署完成並確認

指令碼會自動完成以下動作：

1. 安裝部署機依賴。

2. 構建confidential-agent、confidential-agentd、cai-pep，並將confidential-agent安裝到/usr/local/bin。

3. 構建confidential-agent-tools:latest，並在部署機安裝與鏡像內匹配的OpenClaw CLI。

4. 構建OpenClaw可信鏡像，啟用FDE、dm-verity和UKI。

5. 將鏡像參考值上傳Rekor透明日誌。

6. 建立阿里雲雲資源並啟動TDX ECS。

7. 遠程證明通過後注入OpenClaw配置、百鍊API Key、DingTalk憑據和Gateway Token。

8. 啟動本地TNG connect隧道，並執行Web可達性檢查、Gateway WebSocket probe和chat probe。chat probe會經過百鍊API真實回包，作為端到端可用性確認。

部署成功後，指令碼會輸出類似以下資訊：

Confidential Agent one-click summary
  state_dir: /root/.confidential-agent
  work_dir:  /root/.confidential-agent/one-click
  service:   openclaw
  region:    cn-beijing
  zone_id:   cn-beijing-i
  instance:  ecs.g9i.xlarge
  cidr:      203.0.113.10/32
  dingtalk:  1
  token:     <generated-or-provided-token>
  web:       http://127.0.0.1:18789/openclaw
  ws/api:    ws://127.0.0.1:18789
  tui:       openclaw tui --url ws://127.0.0.1:18789 --token "<generated-or-provided-token>"

步驟四：訪問OpenClaw服務

服務就緒後，可以通過以下四種方式訪問OpenClaw。所有訪問流量都經過TNG RATS-TLS通道進入TDX執行個體。

http://127.0.0.1:18789/openclaw

ssh -L 18789:127.0.0.1:18789 root@<DEPLOY_MACHINE_PUBLIC_IP>

ssh -L 18789:127.0.0.1:18789 root@<DEPLOY_MACHINE_PUBLIC_IP>

openclaw tui --url ws://127.0.0.1:18789 --token <YOUR_GATEWAY_TOKEN>

步驟五（可選）：釋放資源

不再需要服務時，在部署機上執行以下命令釋放雲資源：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- cleanup \
  --state-dir "$HOME/.confidential-agent"

驗證運行環境可信

OpenClaw內建tdx-remote-attestation skill。當詢問安全問題時會自動觸發遠程證明，驗證當前運行環境的安全狀態。

觸發方式：在DingTalk、Web或TUI中詢問"我的資料安全嗎？"、"這個環境可信嗎？"等安全相關的問題。

返回內容：

驗證PEP策略攔截

cai-pep是為機密AI Agent設計的運行時門禁機制。當OpenClaw通過exec工具執行命令時，請求會先經過cai-pep進行策略匹配，再進入隔離的Docker sandbox執行。

PEP提供三層防護：

1. 命令級攔截：基於黑名單拒絕高危命令，例如curl、wget、nc、ssh、docker等。

2. 路徑級攔截：阻止訪問敏感路徑，例如/etc、/proc、/root、OpenClaw配置目錄等。

3. 網路隔離：sandbox預設無網路許可權，即使命令繞過黑名單也無法發起外連。

以下命令會被PEP拒絕：

例如，當Agent嘗試執行以下命令訪問雲中繼資料服務時：

運行：curl http://169.254.169.254/latest/meta-data/

PEP會識別到curl在拒絕命令列表中，直接攔截該請求並返回拒絕資訊，阻止憑證泄露。

驗證供應鏈完整性

部署流程預設使用Rekor透明日誌儲存鏡像參考值，遠程證明過程中自動從Rekor擷取日誌條目進行驗證。您可以通過以下方式對Rekor日誌條目進行審計，驗證供應鏈完整性。

find "$HOME/.confidential-agent" -name "*.rekor-meta.json" -print

Created entry at index 1205944956, available at: https://rekor.sigstore.dev/api/v1/log/entries/<uuid>

rekor-cli verify --log-index 1205944956 --rekor_server https://rekor.sigstore.dev

Computed Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090
Expected Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090

rekor-cli loginfo --rekor_server https://rekor.sigstore.dev

Verification Successful!

安全性群組規則

一鍵部署過程中將自動建立安全性群組規則。如需後續修改，請確保保留以下連接埠：

百鍊API Key與配額

百鍊API Key決定了執行個體可用的模型與配額。建議：

1. 使用最小必要配額的API Key，避免使用主帳號Key。

2. 注入執行個體後定期輪換：刪除secrets/gateway.token、重新export DASHSCOPE_API_KEY後重跑一鍵指令碼即可。

3. 結合百鍊控制台的訪問審計，對調用量異常做警示。

peering 'ops' already exists with a different CIDR

原因：目前狀態目錄中已存在不同CIDR的operator peering。

解決：重新傳入與已存在peering一致的--allowed-cidr；或在互動模式中確認替換；非互動模式下追加--yes。

Shelter is required或SLSA generator is required

原因：部署機未安裝Shelter，或Rekor模式找不到Shelter的SLSA generator。

解決：

• 確認倉庫hack/目錄下存在shelter-*.rpm，或通過--shelter-rpm指定RPM路徑。

• 重新安裝Shelter RPM，確保/usr/libexec/shelter/slsa/slsa-generator存在。

• 僅本地開發驗證情境下，使用--reference-values sample跳過Rekor流程。

Web連接埠打不開

原因與排查：

1. 查看connect.log：tail -F "$HOME/.confidential-agent/one-click/connect.log"。

2. 檢查ECS執行個體安全性群組是否放通ops和deployer兩個operator peering。

3. 部署機公網出口IP發生變化時，重新運行一鍵指令碼，或執行peering remove deployer後按新出口IP添加deployer peering。

Chat probe失敗

原因：本方案的推理由百鍊API完成，chat probe失敗通常與百鍊配置有關。

解決：

1. 檢查DASHSCOPE_API_KEY是否正確且已生效。

2. 檢查所選模型在百鍊控制台是否處於可用狀態、是否欠費。

3. 通過debug SSH登入guest，查看OpenClaw網關日誌排查。

DingTalk無響應

原因與排查：

1. 部署時是否傳入--enable-dingtalk或在互動模式中啟用DingTalk。

2. guest內openclaw status是否顯示DingTalk channel為ON。

3. journalctl -u cai-openclaw-gateway.service -n 200 --no-pager中是否存在dingtalk串連錯誤；如出現HTTP 401，優先檢查DingTalkClient ID和Client Secret是否與DingTalk開放平台一致。

4. DingTalk應用是否具備發送/接收訊息所需的許可權。

cai-pep拒絕所有工具調用

原因：PEP策略配置異常或服務未正常啟動。

解決：使用Debug鏡像部署後，通過SSH串連登入TDX執行個體，查看cai-pep日誌排查具體攔截原因：

journalctl -u cai-pep.service -n 200 --no-pager