把 OpenClaw 關進容器

概要

• 容器是天然的沙盒Sally 習慣把所有東西跑在容器裡，也請自己的 OpenClaw 列理由，得到的是可重現、能隔離 secrets、能跨機器搬動；要開放主機的哪些資源，也得明確指定。
• 金鑰只放指標Sally 用 Podman Secrets，再搭配 OpenClaw 的 secret ref 功能，API key 在設定裡只是一個指向 secret 的參照，Kubernetes 上則用 Kubernetes secrets 做同樣的事。
• 先本機、再搬上 KubernetesSally 的習慣是先在本機開發，再提升到 Kubernetes；也轉述一位 NVIDIA 朋友的團隊，約 10 位工程師各自在 Kubernetes 上跑 OpenClaw 來盯模型評測。
• 職場基準環境的設想新進員工拿到一份整理好的 OpenClaw，內含公司核准的 MCP servers、驗證方式與團隊專屬 skills，再由個人自行調整。
• 自製安裝工具Sally 為自己寫了一套工具，填名稱、secret 對應、provider、SSH sandbox 等選項就能起一個 Podman 實例，也能連上 Kubernetes 與 OpenShift。

原話

• “we can take any application and run it securely”

  任何應用程式我們都能安全地跑起來

  ▶ 02:03

• “We're not all losing our jobs, people.”

  我們不會全都丟掉工作

  ▶ 09:47

• “This is 1,000 times better than me at writing code.”

  這比我寫程式強一千倍；在團隊會議上對同事說的

  ▶ 10:40

• “Containers only run on Linux.”

  容器只能跑在 Linux 上

  ▶ 14:52

• “For every credential, create a secret ref.”

  每一份憑證都建一個 secret ref

  ▶ 16:45

延伸

• Sally 很看重自己長期使用的那個 OpenClaw，每晚都用一個 systemd 服務替它備份，所以才會說容器搭配 volume 很好備份還原。
• Sally 提到有位在 Docker 工作的朋友會試試看工具能否搭配 Docker，目前自己還沒測過。