Azure

使用 Azure CLI 设置 Azure Linux VM，强化网络安全组（NSG），配置 Azure Bastion 以进行 SSH 访问，并安装 OpenClaw。

你将完成的操作

使用 Azure CLI 创建 Azure 网络（VNet、子网、NSG）和计算资源
应用 NSG 规则，使 VM 仅允许来自 Azure Bastion 的 SSH 访问
使用 Azure Bastion 进行 SSH 访问（VM 没有公共 IP）
使用安装程序脚本安装 OpenClaw
验证 Gateway 网关

准备工作

拥有可创建计算和网络资源权限的 Azure 订阅
已安装 Azure CLI（请参阅 Azure CLI 安装步骤）
一个 SSH 密钥对（如果需要，本指南会介绍如何生成）
约 20-30 分钟

配置部署

az login
az extension add -n ssh

Azure Bastion 原生 SSH 隧道需要 ssh 扩展。

注册所需的资源提供商（仅一次）

az provider register --namespace Microsoft.Compute
az provider register --namespace Microsoft.Network

验证注册状态；等待两者都显示 Registered。

az provider show --namespace Microsoft.Compute --query registrationState -o tsv
az provider show --namespace Microsoft.Network --query registrationState -o tsv

设置部署变量

RG="rg-openclaw"
LOCATION="westus2"
VNET_NAME="vnet-openclaw"
VNET_PREFIX="10.40.0.0/16"
VM_SUBNET_NAME="snet-openclaw-vm"
VM_SUBNET_PREFIX="10.40.2.0/24"
BASTION_SUBNET_PREFIX="10.40.1.0/26"
NSG_NAME="nsg-openclaw-vm"
VM_NAME="vm-openclaw"
ADMIN_USERNAME="openclaw"
BASTION_NAME="bas-openclaw"
BASTION_PIP_NAME="pip-openclaw-bastion"

根据你的环境调整名称和 CIDR 范围。Bastion 子网必须至少为 /26。

选择 SSH 密钥

如果已有公钥，请使用现有公钥：

SSH_PUB_KEY="$(cat ~/.ssh/id_ed25519.pub)"

否则，请生成一个：

ssh-keygen -t ed25519 -a 100 -f ~/.ssh/id_ed25519 -C "you@example.com"
SSH_PUB_KEY="$(cat ~/.ssh/id_ed25519.pub)"

选择 VM 大小和操作系统磁盘大小

VM_SIZE="Standard_B2as_v2"
OS_DISK_SIZE_GB=64

轻量使用可从较小配置开始，以后再扩容。
对于更繁重的自动化任务、更多渠道或更大的模型/工具工作负载，请使用更多 vCPU、RAM 和磁盘空间。
如果你的区域或订阅配额不支持某个大小，请选择最接近的可用 SKU。

列出目标区域中可用的 VM 大小：

az vm list-skus --location "${LOCATION}" --resource-type virtualMachines -o table

检查当前的 vCPU 和磁盘使用量/配额：

az vm list-usage --location "${LOCATION}" -o table

部署 Azure 资源

创建资源组

az group create -n "${RG}" -l "${LOCATION}"

创建网络安全组

创建 NSG 并添加规则，使得只有 Bastion 子网能够通过 SSH 访问 VM。

az network nsg create \
  -g "${RG}" -n "${NSG_NAME}" -l "${LOCATION}"

# 仅允许来自 Bastion 子网的 SSH
az network nsg rule create \
  -g "${RG}" --nsg-name "${NSG_NAME}" \
  -n AllowSshFromBastionSubnet --priority 100 \
  --access Allow --direction Inbound --protocol Tcp \
  --source-address-prefixes "${BASTION_SUBNET_PREFIX}" \
  --destination-port-ranges 22

# 拒绝来自公共互联网的 SSH
az network nsg rule create \
  -g "${RG}" --nsg-name "${NSG_NAME}" \
  -n DenyInternetSsh --priority 110 \
  --access Deny --direction Inbound --protocol Tcp \
  --source-address-prefixes Internet \
  --destination-port-ranges 22

# 拒绝来自其他 VNet 源的 SSH
az network nsg rule create \
  -g "${RG}" --nsg-name "${NSG_NAME}" \
  -n DenyVnetSsh --priority 120 \
  --access Deny --direction Inbound --protocol Tcp \
  --source-address-prefixes VirtualNetwork \
  --destination-port-ranges 22

规则按优先级求值，数值越小越先执行：优先级 100 允许 Bastion 流量，然后优先级 110 和 120 阻止所有其他 SSH 流量。

创建虚拟网络和子网

创建包含 VM 子网（已关联 NSG）的 VNet，然后添加 Bastion 子网。

az network vnet create \
  -g "${RG}" -n "${VNET_NAME}" -l "${LOCATION}" \
  --address-prefixes "${VNET_PREFIX}" \
  --subnet-name "${VM_SUBNET_NAME}" \
  --subnet-prefixes "${VM_SUBNET_PREFIX}"

# 将 NSG 关联到 VM 子网
az network vnet subnet update \
  -g "${RG}" --vnet-name "${VNET_NAME}" \
  -n "${VM_SUBNET_NAME}" --nsg "${NSG_NAME}"

# AzureBastionSubnet：Azure 要求使用这一确切名称
az network vnet subnet create \
  -g "${RG}" --vnet-name "${VNET_NAME}" \
  -n AzureBastionSubnet \
  --address-prefixes "${BASTION_SUBNET_PREFIX}"

创建 VM

VM 不会获得公共 IP。SSH 访问只能通过 Azure Bastion 进行。

az vm create \
  -g "${RG}" -n "${VM_NAME}" -l "${LOCATION}" \
  --image "Canonical:ubuntu-24_04-lts:server:latest" \
  --size "${VM_SIZE}" \
  --os-disk-size-gb "${OS_DISK_SIZE_GB}" \
  --storage-sku StandardSSD_LRS \
  --admin-username "${ADMIN_USERNAME}" \
  --ssh-key-values "${SSH_PUB_KEY}" \
  --vnet-name "${VNET_NAME}" \
  --subnet "${VM_SUBNET_NAME}" \
  --public-ip-address "" \
  --nsg ""

--public-ip-address "" 可防止分配公共 IP。由于子网级 NSG 已负责安全保护，--nsg "" 会跳过每个 NIC 的 NSG。如果要固定使用特定的 Ubuntu 映像版本，而不是 latest，请先列出可用版本：

az vm image list \
  --publisher Canonical --offer ubuntu-24_04-lts \
  --sku server --all -o table

创建 Azure Bastion

Azure Bastion 可在不向 VM 暴露公共 IP 的情况下提供托管式 SSH 访问。基于 CLI 的 az network bastion ssh 需要启用隧道功能的 Standard SKU。

az network public-ip create \
  -g "${RG}" -n "${BASTION_PIP_NAME}" -l "${LOCATION}" \
  --sku Standard --allocation-method Static

az network bastion create \
  -g "${RG}" -n "${BASTION_NAME}" -l "${LOCATION}" \
  --vnet-name "${VNET_NAME}" \
  --public-ip-address "${BASTION_PIP_NAME}" \
  --sku Standard --enable-tunneling true

Bastion 预配通常需要 5-10 分钟，但在某些区域可能需要长达 15-30 分钟。

安装 OpenClaw

通过 Azure Bastion 使用 SSH 登录 VM

VM_ID="$(az vm show -g "${RG}" -n "${VM_NAME}" --query id -o tsv)"

az network bastion ssh \
  --name "${BASTION_NAME}" \
  --resource-group "${RG}" \
  --target-resource-id "${VM_ID}" \
  --auth-type ssh-key \
  --username "${ADMIN_USERNAME}" \
  --ssh-key ~/.ssh/id_ed25519

安装 OpenClaw（在 VM shell 中）

curl -fsSL https://openclaw.ai/install.sh -o /tmp/install.sh
bash /tmp/install.sh
rm -f /tmp/install.sh

如果尚未安装 Node 和依赖项，安装程序会进行安装，然后安装 OpenClaw 并启动新手引导。有关详细信息，请参阅安装。

验证 Gateway 网关

新手引导完成后：

openclaw gateway status

如果你的组织已有 GitHub Copilot 许可证，可在新手引导期间选择 GitHub Copilot 提供商，而无需单独的模型 API 密钥。请参阅 GitHub Copilot 提供商。

成本注意事项

大致月度成本（请在 Azure 定价计算器中核实当前价格，因为费率会因区域而异，并随时间变化）：

Azure Bastion Standard SKU：约 $140/月
VM（Standard_B2as_v2）：约 $55/月

要降低成本：

不使用 VM 时将其解除分配。这会停止计算费用计费（仍会产生磁盘费用）。解除分配期间无法访问 Gateway 网关。
az vm deallocate -g "${RG}" -n "${VM_NAME}" az vm start -g "${RG}" -n "${VM_NAME}" # 稍后重新启动
不需要时删除 Bastion，并在再次需要 SSH 访问时重新创建；它是最大的成本组成部分，预配只需几分钟。
如果只需基于 Portal 的 SSH 且不需要 CLI 隧道（az network bastion ssh），请使用 Basic Bastion SKU（约 $38/月）。

清理

删除本指南创建的所有资源：

az group delete -n "${RG}" --yes --no-wait

这会删除资源组及其中的所有内容（VM、VNet、NSG、Bastion、公共 IP）。

后续步骤

设置消息渠道：渠道
将本地设备配对为节点：节点
配置 Gateway 网关：Gateway 配置
有关使用 GitHub Copilot 模型提供商在 Azure 上部署的更多详细信息：在 Azure 上将 OpenClaw 与 GitHub Copilot 配合使用

安装概览

维护

安装方式

托管与部署

Advanced setup

你将完成的操作

准备工作

配置部署

部署 Azure 资源

安装 OpenClaw

成本注意事项

清理

后续步骤

相关内容

​你将完成的操作

​准备工作

​配置部署

​部署 Azure 资源

​安装 OpenClaw

​成本注意事项

​清理

​后续步骤

​相关内容

你将完成的操作

准备工作

配置部署

部署 Azure 资源

安装 OpenClaw

成本注意事项

清理

后续步骤

相关内容