牛逼干货分享！OpenClaw Workspace 运维实战手册

# 查看当前 Agent 的 Workspace 路径 
openclaw config get agents.defaults.workspace      

# 启动时指定 Workspace   
openclaw gateway start --workspace /path/to/custom/workspace  

~/.openclaw/
├── openclaw.json              # 全局系统配置
├── workspace-main/           # 主 Agent Workspace
│   ├── AGENTS.md             # 工作手册
│   ├── SOUL.md               # 性格配置
│   ├── USER.md               # 用户档案
│   ├── IDENTITY.md           # 身份标识
│   ├── TOOLS.md              # 工具权限
│   ├── memory/               # 长期记忆
│   │   ├── projects.md       # 项目状态
│   │   ├── infra.md          # 基础设施配置
│   │   ├── lessons.md        # 踩坑教训
│   │   └── YYYY-MM-DD.md     # 日志归档
│   └── sessions/             # Session 历史（可选）
├── workspace-dev/            # 开发专用 Workspace
│   └── ...
├── workspace-work/           # 工作任务 Workspace
│   └── ...
├── cron/                     # Cron 任务配置
└── logs/                     # Gateway 日志

{
  agents: {
    defaults: {
      workspace: "~/.openclaw/workspace-main",
    },
    list: [
      { id: "main", default: true, workspace: "~/.openclaw/workspace-main" },
      { id: "dev", workspace: "~/.openclaw/workspace-dev" },
      { id: "work", workspace: "~/.openclaw/workspace-work" },
    ],
  },
}

#!/bin/bash
# workspace-backup.sh
BACKUP_DIR="/var/backups/openclaw/workspace"
WORKSPACE_DIR="$HOME/.openclaw/workspace-main"
TIMESTAMP=$(date +%Y%m%d-%H%M%S)

# 创建备份目录
mkdir -p "$BACKUP_DIR"

# 备份配置文件
tar -czf "$BACKUP_DIR/config-$TIMESTAMP.tar.gz" \
"$WORKSPACE_DIR/AGENTS.md" \
"$WORKSPACE_DIR/SOUL.md" \
"$WORKSPACE_DIR/USER.md" \
"$WORKSPACE_DIR/IDENTITY.md" \
"$WORKSPACE_DIR/TOOLS.md"

# 备份记忆目录
tar -czf "$BACKUP_DIR/memory-$TIMESTAMP.tar.gz" \
  -C "$WORKSPACE_DIR" memory/

# 清理旧备份（保留 30 天）
find "$BACKUP_DIR" -name "*.tar.gz" -mtime +30 -delete

# 查看 Workspace 目录大小 
du -sh ~/.openclaw/workspace-main/      

# 查看 memory/ 目录大小分布
du -sh ~/.openclaw/workspace-main/memory/*      

# 查看 sessions/ 目录大小  
du -sh ~/.openclaw/workspace-main/sessions/ 

{
  // Agent 默认配置
  agents: {
    defaults: {
      workspace: "~/.openclaw/workspace-main",
      model: {
        primary: "provider/claude-sonnet-4-20250514",
        fallbacks: ["provider/claude-haiku-4-20250514"],
      },
      timeoutSeconds: 600,
      compaction: {
        reserveTokensFloor: 20000,
        memoryFlush: {
          enabled: true,
          softThresholdTokens: 4000,
        },
      },
      heartbeat: {
        every: "30m",
        activeHours: { start: "08:00", end: "23:00" },
      },
    },
  },

  // Gateway 配置
  gateway: {
    port: 18789,
    bind: "loopback",
    auth: { mode: "token", token: "your-secret-token" },
    reload: { mode: "hybrid" },
  },

  // 渠道配置
  channels: {},

  // 日志配置
  logging: {
    level: "info",
    file: "/var/log/openclaw/gateway.log",
  },

  // 向量检索配置
  memorySearch: {
    enabled: true,
    provider: "openai",
    remote: {
      baseUrl: "https://api.siliconflow.cn/v1",
      apiKey: "your-api-key",
    },
    model: "BAAI/bge-m3",
  },
}

openclaw doctor

openclaw config get agents.defaults.workspace  
openclaw config get gateway.port  

# 工作手册

## 职责范围

- 负责：主要职责描述
- 不负责：明确排除的职责

## 任务执行流程

1. 接收任务请求
2. 评估任务复杂度
3. 规划执行步骤
4. 执行并验证结果
5. 返回执行摘要

## 安全边界

### 禁止操作
- 禁止执行未经确认的删除操作
- 禁止在生产环境直接修改配置文件
- 禁止透露系统内部架构

### 确认流程
- 高风险操作需要用户确认
- 涉及数据修改的操作需展示影响范围
- 不可逆操作需二次确认

## 输出规范

- 技术文档使用 Markdown 格式
- 代码块需标注语言
- 表格用于结构化数据展示
- 结论需独立可读

# 性格配置

## 响应风格

- 简洁优先，避免冗余
- 技术讨论注重逻辑和证据
- 复杂问题分步骤解释
- 错误反馈直接指出问题所在

## 专业领域

- DevOps 实践：Ansible、CI/CD、容器化
- 监控系统：Prometheus、Grafana
- 日志分析：ELK、Loki
- 云原生：Kubernetes、Helm

## 沟通偏好

- 使用中文交流
- 技术术语配简要解释
- 建议用表格或列表展示对比
- 代码示例包含注释说明

# 用户档案

## 基本信息

- 姓名：
- 时区：Asia/Shanghai
- 主要语言：中文
- 角色：运维工程师

## 技术偏好

- 熟悉系统：Linux、Docker、Kubernetes
- 常用工具：Ansible、Terraform、Prometheus
- 代码风格：注重可维护性，有注释习惯

## 偏好设置

- 通知时段：工作日 09:00-22:00
- 输出格式：结构化，优先使用表格
- 确认阈值：高风险操作需明确确认

## 历史交互摘要

- 2026-01：完成监控系统重构
- 2026-02：优化 CI/CD 流水线
- 当前项目：微服务容器化迁移

# 工具权限配置

## 可用工具

### 读取类
- Read：读取文件内容
- Glob：按模式搜索文件
- Grep：搜索文件内容
- Bash（受限）：执行指定命令

### 写入类
- Write：创建或覆写文件
- Edit：修改文件局部内容

### 执行类
- Bash：执行 shell 命令（需白名单）

## 使用限制

### 禁止执行的命令
- rm -rf /（任何递归删除）
- dd（直接磁盘操作）
- mkfs（格式化操作）
- 修改 /etc/passwd、/etc/shadow

### 需要确认的命令
- systemctl restart/reload/stop
- 删除文件超过 1MB
- 创建系统用户或修改系统配置

### 仅隔离会话可用
- apt-get/yum install
- docker pull/push
- kubectl delete（生产环境）

## 白名单示例

允许执行的命令（完全信任）：
- git pull/push/clone
- docker ps/docker images
- kubectl get/describe（仅查询）
- curl（仅 HTTP GET）

需要确认的命令：
- docker run
- kubectl apply
- ansible-playbook

# 身份配置

## 基本信息

- 名称：运维助手
- 英文名：OpsAssistant
- 头像：默认头像（暂不自定义）

## 功能标签

- 自动化运维
- 故障诊断
- 配置管理

## 对外展示

- 介绍文本：专注于运维自动化的 AI 助手
- 专长：服务器管理、监控告警、日志分析

memory/
├── projects.md       # 项目状态索引
├── infra.md          # 基础设施配置速查
├── lessons.md        # 踩坑教训记录
└── YYYY-MM-DD.md     # 每日日志归档

# 记忆索引

## 用户核心信息
- 详见：../USER.md

## 项目索引
- 项目A：projects.md#project-a
- 项目B：projects.md#project-b

## 最近重要上下文
- 2026-03：完成监控系统重构，详见 2026-03.md
- 当前主要任务：微服务容器化迁移

## 教训索引
- 部署相关：lessons.md#deploy
- 配置相关：lessons.md#config

## 基础设施
- 详见：infra.md

# 1. 检查记忆文件的最后修改时间 
ls -la ~/.openclaw/workspace-main/memory/     

# 2. 检查特定记忆文件的内容 
cat ~/.openclaw/workspace-main/memory/projects.md      

# 3. 识别污染源（查看日志或对话历史） 
cat ~/.openclaw/workspace-main/memory/2026-03-20.md     

# 4. 修正或删除污染内容   
# 直接编辑相关文件     

# 5. 验证修正效果   
openclaw gateway reload 

# 1. 评估清理必要性
du -sh ~/.openclaw/workspace-main/memory/

# 2. 归档旧日志（按年度）
mkdir -p ~/.openclaw/workspace-main/memory/archive/
mv ~/.openclaw/workspace-main/memory/2025-*.md \
   ~/.openclaw/workspace-main/memory/archive/

# 3. 压缩归档文件
tar -czf ~/.openclaw/workspace-main/memory/archive-2025.tar.gz \
  ~/.openclaw/workspace-main/memory/archive/

# 4. 删除已归档的原始文件
rm -rf ~/.openclaw/workspace-main/memory/archive/

# 5. 更新 MEMORY.md 索引

{
  "name": "记忆目录清理",
  "schedule": { "kind": "every", "everyMs": 604800000 },
  "payload": {
    "kind": "agentTurn",
    "message": "检查 memory/ 目录大小。如果超过 500MB，执行以下清理：\n1. 将超过 6 个月的日志归档到 archive/\n2. 压缩归档文件\n3. 删除原始日志\n4. 更新 MEMORY.md 索引",
  },
  "sessionTarget": "isolated",
  "delivery": { "mode": "none" },
}

{
  agents: {
    list: [
      { id: "main", default: true, workspace: "~/.openclaw/workspace-main" },
      { id: "dev", workspace: "~/.openclaw/workspace-dev" },
      { id: "ops", workspace: "~/.openclaw/workspace-ops" },
    ],
  },
}

# 查看某 Agent 的最终配置   
openclaw config get --agent dev agents.defaults.workspace  

# 设置 Workspace 权限   
chmod -R 700 ~/.openclaw/workspace-main/  
chown -R openclaw:openclaw ~/.openclaw/workspace-main/      

# 不同 Workspace 使用不同系统用户  
chown -R openclaw-main:openclaw-main ~/.openclaw/workspace-main/  
chown -R openclaw-dev:openclaw-dev ~/.openclaw/workspace-dev/ 

{
  agents: {
    list: [
      { id: "main", model: { primary: "claude-opus-4-20250514" } },
      { id: "dev", model: { primary: "claude-sonnet-4-20250514" } },
      { id: "batch", model: { primary: "claude-haiku-4-20250514" } },
    ],
  },
}

{
  agents: {
    defaults: {
      compaction: {
        reserveTokensFloor: 20000,
      },
    },
    list: [
      { id: "main", compaction: { reserveTokensFloor: 25000 } },
      { id: "batch", compaction: { reserveTokensFloor: 10000 } },
    ],
  },
}

# 1. 确认 Skill 文件存在  
ls -la ~/.openclaw/skills/   ls -la ~/.openclaw/workspace-main/skills/      

# 2. 检查 Skill 文件语法  
cat ~/.openclaw/skills/my-skill.md | head -50     

# 3. 验证 Skill 是否被加载（查看日志）   
openclaw logs --grep "skill\|load" --lines 50      

# 4. 测试 Skill 是否可用  
# 在对话中触发 Skill 关键字，观察响应  

---
name: 运维工具集
version: 2026.03.1
author: OpsTeam
lastUpdated: 2026-03-15
---

# 运维工具集 Skill

## 功能列表
...

# 备份当前版本  
cp ~/.openclaw/skills/my-skill.md \      ~/.openclaw/skills/my-skill.md.backup-$(date +%Y%m%d) 

# 回滚到指定版本   
cp ~/.openclaw/skills/my-skill.md.backup-20260315 \      ~/.openclaw/skills/my-skill.md      

# 验证   
openclaw gateway reload  

# 1. 确认文件已保存且内容正确   
cat ~/.openclaw/workspace-main/AGENTS.md | head -30    

# 2. 检查文件修改时间  
ls -la ~/.openclaw/workspace-main/AGENTS.md     

# 3. 触发热重载   
openclaw gateway reload      

# 4. 等待 10 秒后测试   
# 向 Agent 发送测试消息，观察行为      

# 5. 查看日志确认重载完成   
openclaw logs --grep "reload\|AGENTS" --lines 20  

# 1. 检查文件权限   
ls -la ~/.openclaw/workspace-main/      

# 2. 检查目录权限   
ls -ld ~/.openclaw/workspace-main/      

# 3. 测试文件可读性（以运行用户身份）  
sudo -u openclaw cat ~/.openclaw/workspace-main/AGENTS.md      

# 4. 测试文件可写性   
sudo -u openclaw touch ~/.openclaw/workspace-main/test-write   
sudo -u openclaw rm ~/.openclaw/workspace-main/test-write      

# 5. 检查 Tool 执行权限（TOOLS.md）   
cat ~/.openclaw/workspace-main/TOOLS.md  

# 修复 Workspace 权限  
chown -R openclaw:openclaw ~/.openclaw/workspace-main/  
chmod -R 600 ~/.openclaw/workspace-main/   
chmod 700 ~/.openclaw/workspace-main/      

# 修复特定目录权限   
chmod 700 ~/.openclaw/workspace-main/memory/  
chmod 700 ~/.openclaw/workspace-main/sessions/ 

# 1. 检查 memoryFlush 配置   
openclaw config get agents.defaults.compaction.memoryFlush      

# 2. 检查记忆文件是否存在   
ls -la ~/.openclaw/workspace-main/memory/      
# 3. 检查记忆文件最后修改时间   
ls -la ~/.openclaw/workspace-main/memory/*.md      

# 4. 测试 memorySearch 功能  
# 向 Agent 询问需要检索历史记忆的问题      

# 5. 查看 memoryFlush 触发日志 
openclaw logs --grep "memoryFlush\|compaction" --lines 50  

{
  agents: {
    defaults: {
      compaction: {
        reserveTokensFloor: 20000,
        memoryFlush: {
          enabled: true,
          softThresholdTokens: 4000,
        },
      },
    },
  },
}

# 1. 检查系统资源使用  
openclaw gateway status --deep      

# 2. 检查进程状态   
ps aux | grep openclaw      

# 3. 查看 Gateway 日志中的性能相关警告  
openclaw logs --grep "timeout\|slow\|performance" --lines 50      

# 4. 检查 Token 消耗  
openclaw config get agents.defaults.compaction.reserveTokensFloor     

# 5. 检查 memory/ 目录大小（可能导致加载缓慢） 
du -sh ~/.openclaw/workspace-main/memory/  

cd ~/.openclaw/workspace-main   git init   git add AGENTS.md SOUL.md USER.md IDENTITY.md TOOLS.md   git add memory/   git commit -m "Initial workspace commit"  

# 排除会话历史（太大且不需要版本控制）
sessions/  

# 排除临时文件 
*.tmp   *.bak   

# 排除归档  
archive/     

# 排除敏感配置（如有）  
# *.local.json 

# 创建开发分支   
git checkout -b dev  

# 开发测试完成后合并到 main   
git checkout main  
git merge dev  

# 1. 在开发环境打包配置文件
cd ~/.openclaw/workspace-dev
tar -czf /tmp/workspace-dev-config.tar.gz \
  AGENTS.md SOUL.md USER.md IDENTITY.md TOOLS.md memory/

# 2. 传输到生产环境
scp /tmp/workspace-dev-config.tar.gz prod-server:/tmp/

# 3. 在生产环境解压（先备份现有配置）
cd ~/.openclaw/workspace-main
mv AGENTS.md AGENTS.md.backup-$(date +%Y%m%d)
tar -xzf /tmp/workspace-dev-config.tar.gz

# 4. 验证迁移结果
openclaw doctor
openclaw gateway reload

# 1. 在开发环境打包配置文件
cd ~/.openclaw/workspace-dev
tar -czf /tmp/workspace-dev-config.tar.gz \
  AGENTS.md SOUL.md USER.md IDENTITY.md TOOLS.md memory/

# 2. 传输到生产环境
scp /tmp/workspace-dev-config.tar.gz prod-server:/tmp/

# 3. 在生产环境解压（先备份现有配置）
cd ~/.openclaw/workspace-main
mv AGENTS.md AGENTS.md.backup-$(date +%Y%m%d)
tar -xzf /tmp/workspace-dev-config.tar.gz

# 4. 验证迁移结果
openclaw doctor
openclaw gateway reload

# 1. 识别需要恢复的时间点
# 查看备份列表
ls -la /var/backups/openclaw/workspace/

# 2. 确认备份内容
tar -tzf /var/backups/openclaw/workspace/config-20260320-120000.tar.gz

# 3. 停止 Gateway（避免数据写入）
sudo systemctl stop openclaw-gateway

# 4. 备份当前状态（恢复失败时的救命稻草）
cp -r ~/.openclaw/workspace-main \
   ~/.openclaw/workspace-main-crash-$(date +%Y%m%d-%H%M%S)

# 5. 执行恢复
tar -xzf /var/backups/openclaw/workspace/config-20260320-120000.tar.gz \
  -C ~/.openclaw/

# 6. 启动 Gateway
sudo systemctl start openclaw-gateway

# 7. 验证恢复结果
openclaw gateway health
openclaw gateway status

#!/bin/bash
# init-workspace.sh
WORKSPACE_NAME=$1
WORKSPACE_DIR="$HOME/.openclaw/workspace-$WORKSPACE_NAME"

if [ -z "$WORKSPACE_NAME" ]; then
echo"Usage: $0 <workspace-name>"
exit 1
fi

# 创建目录结构
mkdir -p "$WORKSPACE_DIR/memory"
mkdir -p "$WORKSPACE_DIR/sessions"

# 从模板复制配置文件
TEMPLATE_DIR="/var/lib/openclaw/templates"
cp "$TEMPLATE_DIR/AGENTS.md""$WORKSPACE_DIR/"
cp "$TEMPLATE_DIR/SOUL.md""$WORKSPACE_DIR/"
cp "$TEMPLATE_DIR/IDENTITY.md""$WORKSPACE_DIR/"
cp "$TEMPLATE_DIR/TOOLS.md""$WORKSPACE_DIR/"

# 初始化 USER.md
cat > "$WORKSPACE_DIR/USER.md" << 'EOF'
# 用户档案

## 基本信息

- 姓名：
- 时区：Asia/Shanghai
- 主要语言：中文

## 技术偏好

- 熟悉系统：
- 常用工具：

## 偏好设置

- 通知时段：工作日 09:00-22:00
- 输出格式：结构化
- 确认阈值：高风险操作需明确确认
EOF

# 初始化 MEMORY.md
cat > "$WORKSPACE_DIR/memory/MEMORY.md" << 'EOF'
# 记忆索引

## 用户核心信息
- 详见：../USER.md

## 项目索引
- 无进行中项目

## 最近重要上下文
- Workspace 初始化完成
EOF

# 设置权限
chmod -R 700 "$WORKSPACE_DIR"

echo"Workspace '$WORKSPACE_NAME' initialized at $WORKSPACE_DIR"

./init-workspace.sh dev  
./init-workspace.sh work 

# 工作手册

## 职责范围

- 负责：运维自动化、故障诊断、配置管理
- 不负责：业务代码开发、硬件采购决策

## 任务执行流程

1. 理解任务需求
2. 评估执行方案和风险
3. 必要时向用户确认
4. 执行操作
5. 验证结果并返回摘要

## 安全边界

### 禁止操作
- 未经确认的删除操作
- 生产环境直接修改系统配置
- 透露敏感信息

### 确认流程
- 高风险操作需要用户明确确认
- 不可逆操作需要二次确认

## 输出规范

- 技术文档使用 Markdown
- 代码块标注语言
- 结论独立可读

# 工具权限配置

## 可用工具

### 读取类
- Read、Glob、Grep：始终可用

### 写入类
- Write、Edit：需在确认的路径下操作

### 执行类
- Bash：受限执行

## 禁止命令

- rm -rf 递归删除
- 直接磁盘操作（dd、mkfs）
- 系统用户修改

## 需要确认的命令

- systemctl restart/reload
- 删除超过 1MB 的文件
- 创建系统用户

#!/bin/bash
# validate-workspace.sh
WORKSPACE_DIR="${1:-$HOME/.openclaw/workspace-main}"
ERRORS=0

echo"Validating Workspace: $WORKSPACE_DIR"
echo"======================================"

# 检查必需文件
for file in AGENTS.md SOUL.md USER.md IDENTITY.md TOOLS.md; do
if [ ! -f "$WORKSPACE_DIR/$file" ]; then
    echo"ERROR: Missing $file"
    ERRORS=$((ERRORS + 1))
else
    echo"OK: $file exists"
fi
done

# 检查 memory/ 目录
if [ ! -d "$WORKSPACE_DIR/memory" ]; then
echo"ERROR: Missing memory/ directory"
  ERRORS=$((ERRORS + 1))
else
echo"OK: memory/ directory exists"
fi

# 检查 memory/MEMORY.md
if [ ! -f "$WORKSPACE_DIR/memory/MEMORY.md" ]; then
echo"WARNING: Missing memory/MEMORY.md (recommended)"
fi

# 检查目录权限
PERMS=$(stat -c "%a""$WORKSPACE_DIR")
if [ "$PERMS" != "700" ]; then
echo"WARNING: Workspace permissions are $PERMS, recommend 700"
fi

# 检查 memory/ 大小
MEMORY_SIZE=$(du -sm "$WORKSPACE_DIR/memory" 2>/dev/null | cut -f1)
if [ "$MEMORY_SIZE" -gt 500 ]; then
echo"WARNING: memory/ is ${MEMORY_SIZE}MB, consider cleanup"
fi

echo"======================================"
if [ $ERRORS -eq 0 ]; then
echo"Validation passed"
exit 0
else
echo"Validation failed with $ERRORS error(s)"
exit 1
fi

./validate-workspace.sh ~/.openclaw/workspace-main 

./validate-workspace.sh ~/.openclaw/workspace-dev   

#!/bin/bash
# harden-permissions.sh
OPENCLAW_HOME="$HOME/.openclaw"
OPENCLAW_USER="openclaw"
OPENCLAW_GROUP="openclaw"

# 创建用户组（如需要）
sudo groupadd -f $OPENCLAW_GROUP
sudo usermod -aG $OPENCLAW_GROUP$USER

# 设置主目录权限
chmod 700 $OPENCLAW_HOME
chown -R $OPENCLAW_USER:$OPENCLAW_GROUP$OPENCLAW_HOME

# 设置配置文件权限
chmod 600 $OPENCLAW_HOME/openclaw.json

# 设置 Workspace 目录权限
find $OPENCLAW_HOME/workspace-* -type d -exec chmod 700 {} \;
find $OPENCLAW_HOME/workspace-* -type f -exec chmod 600 {} \;

# 设置日志目录权限
mkdir -p $OPENCLAW_HOME/logs
chmod 700 $OPENCLAW_HOME/logs

echo"Permissions hardened"

{
  memorySearch: {
    remote: {
      apiKey: "env:MEMORY_SEARCH_API_KEY",
    },
  },
}

# 从 Vault 获取密钥
API_KEY=$(vault kv get -field=api_key secret/openclaw/memory-search)

# 写入临时配置文件
cat > /tmp/openclaw-override.json << EOF
{
"memorySearch": {
    "remote": {
      "apiKey": "$API_KEY"
    }
  }
}
EOF

# 启动 Gateway
openclaw gateway start --config /tmp/openclaw-override.json

{
  logging: {
    level: "info",
    file: "/var/log/openclaw/audit.log",
    auditEnabled: true,
  },
}

#!/bin/bash
# audit-analysis.sh
LOG_FILE="/var/log/openclaw/audit.log"

echo"=== 认证事件统计 ==="
grep -c "auth.*success"$LOG_FILE
grep -c "auth.*fail"$LOG_FILE

echo"=== 配置变更记录 ==="
grep "config.*change"$LOG_FILE | tail -20

echo"=== 敏感操作记录 ==="
grep "sensitive.*operation"$LOG_FILE | tail -20

echo"=== 最近 24 小时活动 ==="
grep "$(date -d '1 day ago' +%Y-%m-%d)"$LOG_FILE | wc -l