Cloud Workers

​

Thành phần nào chạy ở đâu

​

Yêu cầu

• Một Plugin nhà cung cấp worker. Plugin crabbox đi kèm điều khiển CLI Crabbox, công cụ môi giới việc thuê máy trên nhiều nền tảng đám mây (AWS, Hetzner và các nền tảng khác). Tệp nhị phân crabbox phải nằm trên PATH (hoặc đặt settings.binary) và thông tin xác thực của nhà cung cấp phải được cấu hình sẵn. Việc tiếp nhận AWS yêu cầu Crabbox 0.38.1 trở lên.
• Đối với worker Crabbox AWS, giá trị aws.instanceProfile có hiệu lực phải để trống. Nhà cung cấp kiểm tra crabbox config show --json trước khi cấp phát, sau đó yêu cầu crabbox inspect --json báo cáo providerMetadata.instanceProfileAttached: false từ EC2 DescribeInstances. Các lượt thuê có vai trò phiên bản máy hoặc không có siêu dữ liệu có thẩm quyền sẽ bị dừng và từ chối.
• Node.js trên máy được thuê. Các ảnh đám mây cơ bản thường không có Node.js — hãy cài đặt Node.js trong lệnh setup của hồ sơ.
• Một phiên có worktree được quản lý và thuộc sở hữu của phiên (tạo bằng worktree: true). Thao tác điều phối sẽ di chuyển nội dung của worktree đó; các thư mục thông thường được đồng bộ dưới dạng bản sao phản chiếu theo manifest.

​

Cấu hình

{
  "cloudWorkers": {
    "profiles": {
      "aws": {
        "provider": "crabbox",
        "install": "bundle",
        "settings": {
          "provider": "aws",
          "class": "standard",
          "ttl": "8h",
          "idleTimeout": "45m",
          "setup": "test -x /usr/bin/node || (curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash - && sudo apt-get install -y nodejs)"
        }
      }
    }
  }
}

​

Lệnh thiết lập

​

Kênh cài đặt

• bundle đóng gói dist của Gateway đang chạy, một package.json đã được tinh giản và mọi gói không gian làm việc mà bản dựng tham chiếu, tất cả đều được bảo vệ bằng hàm băm nội dung. Máy xác minh gói nguyên vẹn dựa trên hàm băm đó, sau đó cài đặt các phần phụ thuộc npm dành cho môi trường sản xuất (đã vô hiệu hóa script). Đây là cách chạy một bản dựng phát triển trên worker.
• npm xác minh rằng bản phát hành tồn tại trên registry công khai, ghim tính toàn vẹn SHA-512 của bản phát hành và cài đặt openclaw@<version> khớp chính xác với Gateway.

​

Điều phối một phiên

openclaw gateway call sessions.create \
  --params '{"key":"agent:main:big-refactor","worktree":true,"cwd":"/path/to/repo","worktreeName":"big-refactor"}'

openclaw gateway call sessions.dispatch \
  --timeout 1500000 \
  --params '{"key":"agent:main:big-refactor","profileId":"aws"}'

openclaw gateway call sessions.reclaim \
  --timeout 600000 \
  --params '{"key":"agent:main:big-refactor"}'

​

Mô hình bảo mật

• Đóng luồng vào worker. Các worker giao tiếp bằng một giao thức chuyên dụng trên socket được tạo đường hầm với danh sách phương thức cho phép đóng — worker không thể gọi các RPC của người vận hành.
• Thông tin xác thực được cấp mới, được băm khi lưu trữ. Mỗi lần điều phối cấp một thông tin xác thực cho worker; Gateway chỉ lưu hàm băm của thông tin đó. Việc xoay vòng thông tin xác thực và rào chắn theo epoch của chủ sở hữu bảo đảm mỗi phiên có nhiều nhất một chủ sở hữu đang hoạt động — một worker cũ kết nối lại sẽ bị chặn, tuyệt đối không được hợp nhất.
• Ghim khóa máy chủ. Nhà cung cấp phải cung cấp khóa máy chủ SSH của máy tại thời điểm cấp phát; quá trình bootstrap kết nối với chế độ ghim nghiêm ngặt và đóng an toàn nếu không có khóa.
• Không lưu thường trực thông tin xác thực của mô hình, forge hoặc đám mây trên máy. Xác thực mô hình vẫn nằm trên Gateway (suy luận được truyền qua tham chiếu {provider, model}), các commit git trong không gian làm việc được tạo mà không có thông tin xác thực forge, và siêu dữ liệu lease AWS của Crabbox được kiểm tra theo nguồn có thẩm quyền để xác định vai trò phiên bản trước khi thiết lập. Các lệnh thiết lập cũng phải không chứa thông tin xác thực.
• Luồng ra do nhà cung cấp quản lý. Đường hầm ngược loại bỏ nhu cầu truy cập trực tiếp vào mô hình của OpenClaw, nhưng OpenClaw không viết lại tường lửa của nhà cung cấp. Hãy hạn chế lưu lượng đi ra tại nhà cung cấp worker khi tác vụ yêu cầu.
• Bản ghi hội thoại bền vững, chính xác một lần. Worker commit các lô bản ghi hội thoại thông qua giao thức so sánh-và-hoán-đổi với nút lá của phiên; một cơ sở cũ sẽ buộc lượt chạy dừng do lỗi thay vì sao chép hoặc rebase đầu ra phải trả phí.

​

Khắc phục sự cố

• sessions.dispatch là phương thức không xác định — chưa cấu hình cloudWorkers.profiles nào hoặc bên gọi không có operator.admin.
• “Các lượt worker đám mây yêu cầu runtime OpenClaw” — chọn một mô hình có runtime được cấu hình là OpenClaw. Các runtime CLI bên ngoài như claude-cli không hỗ trợ suy luận trên worker.
• “Quá trình bootstrap worker yêu cầu Node.js trên máy chủ được cấp lease” — thêm bước cài đặt Node vào settings.setup (xem phần trên).
• Chứng thực vai trò phiên bản AWS thất bại — xóa aws.instanceProfile (và CRABBOX_AWS_INSTANCE_PROFILE, nếu đã đặt). Cài đặt Crabbox 0.38.1 trở lên; các tệp nhị phân cũ hơn không cung cấp hợp đồng providerMetadata.instanceProfileAttached có thẩm quyền, vốn cần thiết để tiếp nhận AWS.
• Điều phối thất bại do lỗi nhà cung cấp — bản ghi vị trí thực thi và environments.list lưu lỗi gần nhất, bao gồm phần cuối stderr của quá trình thiết lập/bootstrap. Các máy bị hủy khi thất bại, vì vậy phần cuối này là bằng chứng điều tra chính.
• Máy khách hết thời gian chờ khi điều phối — openclaw gateway call mặc định có thời gian chờ 10s; hãy truyền --timeout với giá trị đủ lớn (quá trình điều phối vẫn tiếp tục chạy phía máy chủ trong cả hai trường hợp, và việc thử lại trong khi đang cấp phát sẽ bị từ chối bằng session cannot dispatch from placement provisioning).
• Thông báo xung đột không gian làm việc đám mây — lượt đã hoàn tất và giữ phiên bản cục bộ của từng đường dẫn được liệt kê. Dùng các lệnh tham chiếu đã được đưa vào vùng tạm trong thông báo để kiểm tra hoặc lấy phiên bản đám mây; không cần thử lại đối với các thay đổi không xung đột vì chúng đã được áp dụng.
• “Kết quả không gian làm việc của lượt đám mây trước vẫn đang được đối soát” — Gateway đã chờ trong thời gian ngắn để nhận hàng rào bền vững của kết quả trước nhưng không thể giành quyền yêu cầu phiên. Hãy chờ quá trình đối soát hoàn tất rồi thử lại lượt; việc khởi động lại Gateway là an toàn vì quá trình khôi phục bảo lưu các kết quả đã được đưa vào vùng tạm trước khi thu hồi một worker đã ngừng hoạt động.
• Dọn dẹp lease — crabbox list --provider <backend> hiển thị các lease đang hoạt động; crabbox stop --provider <backend> --id <lease> giải phóng thủ công một lease. Các lease nhàn rỗi hết hạn theo idleTimeout của hồ sơ.

​

Liên quan

• Cơ chế cách ly — giảm phạm vi ảnh hưởng khi thực thi công cụ cục bộ
• CLI phiên — kiểm tra các phiên đã lưu
• Tham chiếu cấu hình