1Password

• Configuratiegeheimen: elk SecretRef-veld in openclaw.json kan tijdens runtime via de op-CLI worden opgelost, zodat API-sleutels nooit in het configuratiebestand staan.
• Agentworkflows: de meegeleverde 1password-skill leert agents om zich aan te melden en met op geheimen te lezen of te injecteren voor hun eigen taken.

​

Vereisten

• De 1Password CLI (op) moet op de Gateway-host zijn geïnstalleerd (brew install 1password-cli op macOS).
• Een authenticatiemodus voor op:
  • Serviceaccount (aanbevolen voor headless Gateways): exporteer OP_SERVICE_ACCOUNT_TOKEN in de omgeving van de Gateway-service. Geen desktopapp en geen interactieve aanmelding.
  • Integratie met de desktopapp: de 1Password-app draait op dezelfde machine en CLI-integratie is ingeschakeld. De eerste aanroepen kunnen Touch ID- of systeemauthenticatie activeren.
  • Zelfstandige aanmelding: op signin vraagt per sessie om invoer. Bruikbaar voor agents via de skill, maar niet geschikt om configuratiegeheimen op een headless Gateway op te lossen.

​

Configuratiegeheimen oplossen met op

{
  secrets: {
    providers: {
      onepassword_openai: {
        source: "exec",
        command: "/opt/homebrew/bin/op",
        allowSymlinkCommand: true, // vereist voor door Homebrew als symlink geïnstalleerde binaire bestanden
        trustedDirs: ["/opt/homebrew"],
        args: ["read", "op://Personal/OpenClaw QA API Key/password"],
        passEnv: ["HOME"],
        jsonOnly: false,
      },
    },
  },
  models: {
    providers: {
      openai: {
        baseUrl: "https://api.openai.com/v1",
        models: [{ id: "gpt-5", name: "gpt-5" }],
        apiKey: { source: "exec", provider: "onepassword_openai", id: "value" },
      },
    },
  },
}

• command moet een absoluut pad zijn; trustedDirs markeert de bijbehorende map als vertrouwd en allowSymlinkCommand is nodig omdat Homebrew op als symlink installeert.
• args geeft de op://vault/item/field-verwijzing ongewijzigd door. OpenClaw parseert het op://-schema niet zelf; het binaire bestand op lost het op.
• passEnv geeft de vermelde variabelen uit de Gateway-omgeving door. Voor integratie met de desktopapp is HOME nodig; voor serviceaccounts moet OP_SERVICE_ACCOUNT_TOKEN ook aanwezig zijn in de omgeving van de Gateway-service (voeg dit toe aan passEnv, of stel het alleen via env in als je accepteert dat het token in het configuratiebestand leesbaar is).
• Behoud id: "value" voor uitvoer met één waarde. Gebruik bij jsonOnly: true en een JSON-payload in plaats daarvan een JSON-pointer-id om velden te adresseren.
• Met één providervermelding per geheim blijven verwijzingen controleerbaar; vernoem providers naar hun verbruiker (onepassword_openai, onepassword_telegram).

​

Serviceaccount instellen voor headless Gateways

1. Maak een serviceaccount in je 1Password-account en geef dit alleen leestoegang tot de kluisitems die de Gateway nodig heeft.
2. Geef OP_SERVICE_ACCOUNT_TOKEN door aan de Gateway-service (launchd-plist, systemd-unit of containeromgeving).
3. Voeg "OP_SERVICE_ACCOUNT_TOKEN" toe aan de passEnv-lijst van de provider.
4. Verifieer dit vanuit de omgeving van de Gateway-host: op whoami moet het serviceaccount zonder prompt weergeven.

​

De 1password-skill voor agents

​

Beveiligingsopmerkingen

• Geheime waarden die via exec-providers worden opgelost, blijven in het geheugen van de Gateway; configuratiesnapshots en config.get-antwoorden maken SecretRef-velden onleesbaar.
• Plaats geheime waarden nooit in openclaw.json, logboeken of chats. Bewaar itemnamen in de configuratie en waarden in 1Password.
• Het auditspoor van 1Password toont elke leesbewerking van een serviceaccount, waardoor sleutelrotatie en incidentonderzoek praktisch uitvoerbaar zijn.

​

Problemen oplossen

• command not found- of spawnfouten: gebruik het absolute pad naar op en neem de bijbehorende map op in trustedDirs.
• op wordt gevonden, maar leesbewerkingen mislukken met symlinkfouten: stel allowSymlinkCommand: true in voor Homebrew-installaties.
• account is not signed in: controleer voor serviceaccounts of OP_SERVICE_ACCOUNT_TOKEN de Gateway-service bereikt en in passEnv staat; controleer voor desktopintegratie of de app draait en ontgrendeld is.
• Trage eerste leesbewerkingen: verhoog timeoutMs voor de provider; koude starts van op kunnen op drukbezette hosts strikte time-outs overschrijden.