OpenClaw onboard и install-daemon на headless облачном Mac в 2026 году: сначала SSH для шлюза на Apple Silicon MacLogin

Большинство клиентов MacLogin никогда не летает в датацентр—они поднимают mini на Apple Silicon в Гонконге, Токио, Сеуле, Сингапуре или США и сразу подключаются по SSH, чтобы ставить стеки автоматизации. Онбординг OpenClaw в 2026 году предполагает современный Node, опциональные разрешения GUI macOS для части каналов и шлюз на LaunchAgent, переживающий выход из сессии; это руководство показывает, как выполнить шаги целиком по SSH и при этом получить проверяемые артефакты. Вы сравните пути установки, узнаете типовые допущения по TCP-слушателю, пройдёте шестишаговый headless-ранбук и соберёте вывод doctor для комитетов по изменениям.

Связанные материалы: скрипт установки против глобального npm, Node, установка и оптимизация, устранение неполадок демона шлюза и диагностика doctor. Человекочитаемый онбординг — в справке; регионы — на тарифах; пункты, зависящие от GUI, проверьте позже через VNC.

Почему headless-онбординг по умолчанию для облачных шлюзов Mac

• Скорость—командам нужны живые шлюзы через минуты после активации аренды, а не после доставки KVM-курьером.
• Повторяемость—SSH-транскрипты, готовые к копированию, лучше записей Screen Sharing, когда аудиторы спрашивают, что произошло.
• Изоляция—узлы MacLogin однопользовательские на уровне железа, но всё равно выигрывают от скриптовой установки без личного Apple ID.

Базовые требования, порты и числовые цели

Апстрим по-прежнему рекомендует Node.js 22 или новее; закрепите минимум 22.14.0 во внутренних ранбуках, чтобы каждый регион пересобирал один и тот же ABI. Шлюзы обычно слушают TCP 18789—укажите это рядом с 22 у sshd в тикетах файрвола. Выделяйте не менее 8 ГБ RAM для лёгких нагрузок и 16 ГБ, когда навыки параллельно компилируют нативные помощники.

curl-установщик против закреплённого глобального npm

curl-установщик оптимизирован под первый успех на macOS, глобальный npm подходит командам, которые уже зеркалируют tarball внутри сети. Ни один путь не отменяет последующий openclaw doctor—считайте doctor воротами дымового теста, как проверки переключения в прод из ранбуков здоровья и отката.

Подсказки onboard и install-daemon через launchd

Используйте ssh -t, чтобы пароли и шаги, чувствительные к TTY, проходили успешно. После onboard зарегистрируйте LaunchAgent с документированной меткой (в сообществе часто ai.openclaw.gateway) и убедитесь, что launchctl kickstart -k gui/$(id -u)/ai.openclaw.gateway возвращает чистые коды до выхода из SSH.

Матрица проверки doctor

Сигнал doctor	Ожидание «здорово»	Headless-исправление	Владелец
HTTP-зонд шлюза	HTTP 200 с localhost:18789	Открыть loopback в файрволе + перезапустить агент	Основной SRE
Аутентификация провайдера	Проверены области токена	Переэкспортировать переменные в профиле shell, совместимом с systemd	Безопасность платформы
Права на диск	Рабочие каталоги доступны на запись	Поправить POSIX ACL без chmod 777	Админ аренды

Шестишаговый headless-ранбук

1. Предпроверка node -v и свободное место > 30 ГБ для тяжёлых навыков с Xcode.
2. Установить CLI по утверждённому пути (curl или npm).
3. Экспортировать секреты в root-файл с правами 0600 вне мировочитаемых dotfile.
4. Запустить openclaw onboard с PTY и сохранить логи.
5. Установить демон и проверить регистрацию launchd.
6. Прикрепить JSON-вывод doctor к тикету изменения до объявления успеха.

Режимы отказа, когда консоль недоступна

Без PTY запросы провайдера висят молча. Неверный $PATH в non-login shell ломает глобальный npm. LaunchAgent с неверным UID после передачи админа даёт «призрачные» процессы — всегда сверяйте id -u с учётной записью, владеющей ~/.openclaw.

FAQ

Можно ли туннелировать шлюз через SSH? Да — см. настройку SSH-туннеля.

Сосуществует ли cron? Планируйте автоматизацию после чтения порядка cron и launchd.

А вебхуки? Завершение TLS — в руководстве по обратному прокси.

Почему Mac mini M4 — практичный хост шлюза OpenClaw

Унифицированная память M4 держит Node и нативные цепочки инструментов в одной энергетической оболочке — это важно при всплесках шлюза при fan-out нескольких навыков. Аренда bare metal MacLogin в метро HK, JP, KR, SG и US даёт предсказуемый CPU в отличие от переподписанных ВМ, поэтому тайминги doctor сравнимы из недели в неделю — критично при алертах на регрессию задержки в автоматических health-check.

Аренда mini снимает CapEx и сохраняет поведение только macOS (связка ключей, codesign, нотаризованные CLI), из-за чего экосистема инструментов OpenClaw ощущается нативно, а не вывернутой внутри Linux-контейнеров.