Две проектные команды используют один Gateway, а доступ к ним разделён только идентификаторами сессий.

На этой неделе проверьте границы доверия: если команды не доверяют друг другу, выделите каждой отдельный экземпляр OpenClaw с собственными состоянием, учётными данными и рабочими каталогами; общий Mac оценивайте отдельно.

Кому пригодится: IT-руководителям, которые выбирают способ размещения OpenClaw на Mac и задают границы доступа команд.
Для платформенных инженеров: материал поможет проверить Gateway, сопряжение узлов и политики выполнения Agent.
Для службы безопасности и технических директоров: здесь разобраны риски общих учётных данных, плагинов и удалённых команд.

Обновлено 5 октября 2026 года; сведения сверены с официальной документацией OpenClaw по многопользовательскому размещению, безопасности, сопряжению узлов и Fleet. Состояние функций и значения настроек могут зависеть от версии, поэтому перед внедрением повторите проверку по документации и примечаниям к используемому выпуску.

01

Ошибка границы доверия в общей установке

Представьте две команды: первая ведёт внутренний продукт, вторая — клиентский. Обе отправляют задачи в один Gateway. Сессии маркируются разными идентификаторами, и команда платформы считает, что этого достаточно для изоляции. Но маршрутизация по идентификатору сессии сама по себе не превращает её в границу авторизации и не защищает одну команду от другой.

Документация OpenClaw описывает стандартный Gateway как границу для одного доверенного оператора и предостерегает от использования единственного общего Gateway для взаимно недоверенных арендаторов. Поэтому ответ на вопрос о нескольких командах — не «достаточно ли разделить сессии», а «разделяют ли команды одну область доверия». Описание модели многопользовательского размещения OpenClaw — исходная точка для этой оценки.

Проблема проявляется не только в доступе к диалогам. В одном экземпляре могут оказаться общими или тесно связанными:

  • учётные данные и конфигурация, доступные процессам Gateway;
  • каталоги состояния и рабочие пространства;
  • установленные плагины и доступные навыки;
  • каналы и подключённые аккаунты;
  • сопряжённые узлы и инструменты Agent;
  • журналы, резервные копии и процедуры восстановления.

Разделение отдельных функций или сессий полезно для управления, но не доказывает, что между командами есть изоляция на уровне арендаторов. При общей модели доверия ограничение ролей и инструментов может быть достаточным оперативным контролем. Если команды не должны доверять действиям друг друга, безопаснее проектировать отдельные экземпляры, а не пытаться вывести гарантию из набора разрешений.

Важно. Не описывайте общую установку как «изолированную для нескольких команд» только потому, что у каждой команды свои каналы, сессии или агенты. Зафиксируйте, какие данные и полномочия реально разделены, а какие остаются в общей границе Gateway.

02

Что дают роли, области действия и политики Agent

Вопрос о многопользовательском OpenClaw часто начинается с ролей и областей действия. Они помогают ограничить операции оператора в пределах поддерживаемой модели доступа. Однако эти механизмы не меняют основное условие: один Gateway рассчитан на доверенную операторскую границу, а не на противостояние независимых арендаторов. Документация по Operator scopes описывает назначение областей действия; трактуйте их как контроль полномочий, а не как замену отдельным экземплярам.

Политика инструментов Agent — ещё один уровень ограничения. Она может определить, какие действия доступны конкретной конфигурации Agent, но не следует считать её самостоятельной изоляцией между командами. Проверяйте, кто вправе менять саму политику, конфигурацию, плагины и доступные рабочие каталоги. Если администратор или процесс одной команды может изменить общие настройки, ограничение инструмента для текущей задачи не устраняет этот путь влияния.

При проверке конфигурации разделяйте три вопроса:

  • Кто может управлять Gateway? Сопоставьте роли и scopes с реальными административными обязанностями; не выдавайте широкие операторские права только ради удобства.
  • Что может делать Agent? Сверьте доступные инструменты и политики с задачами команды. Не выводите из ограничений Agent гарантию, что его данные или конфигурация изолированы от соседнего проекта.
  • Что остаётся общим? Зафиксируйте состояние, хранилище секретов, журналы, каналы, расширения и рабочие каталоги, доступные нескольким командам или процессам.

Это различие важно при аудите: управление правами помогает уменьшить набор разрешённых действий, но не заменяет разделение областей, между которыми нет доверия.

03

Риск идентификатора сессии как мнимой авторизации

Идентификатор сессии нужен для адресации и маршрутизации диалога. Не используйте его как единственное доказательство того, что пользователь или команда вправе читать данные сессии, запускать инструмент либо обращаться к сопряжённому Mac. Организационная схема «команда А использует один префикс, команда Б — другой» — это соглашение, а не автоматически подтверждённая граница безопасности.

В сценарии с общим Gateway проверьте, кто может создавать или выбирать сессии, менять конфигурацию маршрутизации и получать доступ к событиям. Затем выясните, где выполняется авторизация на каждую операцию и какое состояние остаётся общим. Если на эти вопросы нет однозначного ответа, не включайте такую схему в модель изоляции.

Для команд, которые работают в общей области доверия, ограничения ролей и инструментов могут быть полезны как операционные барьеры. Для недоверяющих друг другу команд решение меняется: отдельные Gateway, раздельные секреты и рабочие пространства должны быть исходным проектным выбором, а не поздним дополнением.

04

Полномочия Mac после сопряжения узла

Сопряжение связывает узел с Gateway, но не означает, что каждую последующую команду нужно одобрять отдельно. При проектировании доступа различайте сопряжение устройства, доступные узлу возможности и локальные правила выполнения на Mac. Порядок сопряжения и поведение узлов описаны в официальной документации OpenClaw по pairing.

Сопряжённый Mac может предоставлять удалённые возможности, в том числе выполнение команд, если они включены и разрешены соответствующей конфигурацией. Поэтому приёмка должна отвечать не на вопрос «узел сопряжён?», а на вопросы «какие операции доступны через него?», «кто может их инициировать?» и «где команда блокируется или требует одобрения?». См. документацию по выполнению команд на узлах и описание одобрения команд.

На каждом узле проверьте два независимых уровня:

  • Политика Gateway: какие возможности узла включены и какие клиенты могут запросить их использование. Параметры узлов и Gateway сверяйте с официальной документацией по конфигурации Gateway.
  • Локальная граница Mac: от имени какого системного пользователя запускается процесс, какие файлы и учётные данные ему доступны и как настроено локальное одобрение команд.

Если Gateway разрешает запрос, а процесс узла имеет доступ к общим секретам или каталогу соседнего проекта, локальное разделение сессий этого не исправит. И наоборот: локальная политика выполнения может дополнительно ограничить действия, но не превращает общий Gateway в изолированную многопользовательскую платформу.

05

Общие плагины, навыки и секреты

Плагины — это исполняемый код, поэтому рассматривайте их как доверенную часть окружения, а не как безобидную настройку. До установки проверяйте источник кода, способ обновления, владельца конфигурации и доступ к данным процесса. Документация OpenClaw по плагинам прямо требует соответствующего доверительного подхода.

Навыки тоже требуют контроля изменений. Если команда может изменять каталог, из которого другой Agent загружает доступные навыки, она способна повлиять на поведение общей среды. Проверьте владельца каталога, права записи, механизм публикации и аудит изменений по документации OpenClaw по навыкам.

Составьте отдельный перечень объектов, которые часто ошибочно считают изолированными:

  • токены и другие секреты моделей;
  • учётные данные каналов и сервисных аккаунтов;
  • конфигурация Gateway и её резервные копии;
  • плагины, навыки и каталоги, из которых они загружаются;
  • рабочие пространства и временные файлы;
  • журналы с запросами, результатами инструментов или путями к файлам.

Назначьте владельца каждому объекту. Затем проверьте, кто может читать, изменять, резервировать и восстанавливать его. Разные каталоги на одном диске — полезный организационный шаг, но без проверки системных пользователей, прав файловой системы и процессов это не подтверждение полной изоляции.

Песочница Agent может уменьшать доступ конкретного процесса к инструментам или ресурсам, если она настроена и проверена. Но не считайте её заменой разделению Gateway для взаимно недоверенных арендаторов: песочница не делает автоматически отдельными состояние, секреты, плагины и административное управление общей установки.

06

Выбор между отдельными экземплярами и общим Mac

Разделяйте два архитектурных решения: нужно ли каждой команде выделить свой экземпляр Gateway и можно ли разместить несколько таких экземпляров на одном физическом Mac. Первое определяется доверием и данными. Второе — операционной изоляцией, доступной конфигурацией хоста, обслуживанием и последствиями общей точки отказа.

Команды работают в одной доверенной области. Можно оценить общий экземпляр с минимальными необходимыми ролями, ограниченными политиками инструментов и явным владельцем конфигурации. Зафиксируйте остаточные риски и убедитесь, что участники понимают общие границы.

Команды не доверяют друг другу. Выделите каждой полный экземпляр Gateway. Разделите состояние, секреты, рабочие пространства и административные процедуры. После этого отдельно оцените, обеспечивает ли выбранное размещение достаточное разделение процессов и файлов на общей физической машине. Если нет — рассмотрите отдельные хосты.

Требуется централизованная эксплуатация парка. Не принимайте Fleet за готовое обещание корпоративной изоляции: официальная документация помечает эту возможность как экспериментальную. До использования проверьте текущий статус и ограничения в документации OpenClaw по Fleet. Не переносите экспериментальный статус на вывод о пригодности системы без собственной проверки.

Плюс общего Mac — меньше физических машин и единая точка обслуживания. Минусы — общий хост расширяет последствия ошибки в правах, сбоя обслуживания или компрометации системного уровня; также появляется необходимость отдельно контролировать процессы, дисковые данные и доступ администраторов. Один Mac не становится несколькими изолированными хостами лишь потому, что на нём созданы отдельные каталоги или запущены разные экземпляры.

07

Приёмка разделения перед запуском

Используйте список как проверку архитектурного решения. Отмечайте пункт только после проверки конфигурации и, где возможно, теста доступа от имени каждой команды.

  • [ ] Определите, доверяют ли команды друг другу в вопросах конфигурации, секретов, рабочих данных и запуска инструментов.
  • [ ] Если доверия нет, запланируйте отдельный экземпляр Gateway для каждой команды, а не только разные идентификаторы сессий.
  • [ ] Назначьте отдельного владельца состояния, конфигурации, учётных данных, журналов и резервных копий каждого экземпляра.
  • [ ] Проверьте роли и Operator scopes: у каждой роли должны быть только необходимые полномочия; документируйте, чего эти scopes не гарантируют.
  • [ ] Перечислите инструменты и действия, разрешённые каждому Agent; отдельно проверьте, кто может менять политики и конфигурацию.
  • [ ] Для каждого сопряжённого Mac зафиксируйте доступные функции узла, локального системного пользователя и правила выполнения команд.
  • [ ] Проверьте, требуют ли локальные правила одобрения команд и кто вправе выдавать такое одобрение.
  • [ ] Ограничьте круг тех, кто может изменять плагины, навыки и каталоги их загрузки; предусмотрите аудит изменений.
  • [ ] Убедитесь, что секреты, каналы и рабочие каталоги не доступны процессам соседней команды без явного основания.
  • [ ] Проведите тест с учётными данными каждой команды: попытайтесь прочитать чужое состояние, изменить конфигурацию и вызвать недоступное действие. Сохраните результат и ожидаемое поведение.
  • [ ] Проверьте резервное копирование и восстановление: восстановление одного экземпляра не должно незаметно подменять состояние или секреты другого.
  • [ ] Запишите остаточные риски общего физического Mac и условие, при котором команды потребуется разместить на отдельных хостах.

Проверка перед вводом. Если команда может менять общий плагин, читать общий секрет или влиять на права соседнего экземпляра, считайте соответствующий актив общим до тех пор, пока не доказано обратное.

08

План развёртывания и сопровождения

Начните с инвентаризации. Для каждой команды перечислите сценарии Agent, каналы, секреты, рабочие каталоги, необходимые инструменты и владельцев. Не начинайте с выбора числа Mac: сначала установите границу доверия и требования к доступу.

Затем утвердите схему экземпляров. Для команд с общей областью доверия проверьте, можно ли ограничить роли и инструменты в пределах общего Gateway. Для взаимно недоверенных команд выделите отдельные экземпляры и назначьте им независимые состояние, учётные данные и рабочие пространства. Сохраните решение и причину в архитектурной документации.

После этого выберите уровень размещения. Если экземпляры находятся на одном Mac, проверьте системные учётные записи, права файлов и каталогов, процессы запуска, доступ к связке ключей, сетевые точки входа и резервное копирование. Эти проверки относятся к границе хоста и не должны смешиваться с настройками Gateway. Если нужное разделение хост не обеспечивает, вынесите экземпляры на отдельные машины.

Настройте сопряжение узлов и выполнение команд только после фиксации владельцев и политик. Отключите ненужные возможности, а необходимые протестируйте с ролью, которая будет использовать их в работе. Отдельно проверьте локальные разрешения macOS: успешный запрос через Gateway не должен автоматически означать доступ ко всем файлам и секретам хоста.

Проведите негативные тесты. Проверьте, что команда не может получить чужую конфигурацию, учётные данные, каталог навыков или рабочие данные через доступные ей интерфейсы. Тестируйте не только интерфейс сессий, но и административные операции, плагины, восстановление резервной копии и выполнение команд на узле.

Наконец, задайте процедуру изменений. Для обновления Gateway, плагина, навыка или политики сначала определите, какие экземпляры затронуты и кто проверяет изменение. После обновления повторите тесты доступа и зафиксируйте версию документации и конфигурации, по которым принималось решение. Так вы не будете полагаться на прежнее описание поведения, если функции или значения по умолчанию изменились.

09

Проверка размещения на удалённом Mac

Доступ к удалённому Mac не подтверждает автоматически, что размещённые на нём экземпляры соответствуют вашей модели изоляции. До выбора размещения сопоставьте документированные требования предприятия с реально доступными способом подключения, границами учётных записей и управления хостом, порядком выдачи доступа и условиями аренды. Не выводите эти характеристики из документации OpenClaw: они зависят от конкретного предложения и должны подтверждаться данными поставщика.

Перед обращением к VpsMesh подготовьте список требований: нужны ли отдельные физические хосты, кто управляет системными учётными записями, как выдаются доступ и привилегии, где хранятся секреты и какие ограничения применяются к эксплуатации. Для предварительной оценки ознакомьтесь с информацией об аренде Mac и доступных условиях и политикой конфиденциальности VpsMesh, затем подтвердите конкретные условия перед развертыванием. Если требуемые границы не подтверждены, не считайте аренду соответствующей корпоративной модели только на основании наличия удалённого доступа.

Практический выбор сводится к трём вариантам. Общий Gateway подходит для команд с общей областью доверия и явно принятыми ограничениями. Несколько Gateway на общем Mac могут разделить состояние приложений, но требуют отдельной проверки границ операционной системы и хоста. Разные Mac дают более ясное разделение физического ресурса, однако требуют управления дополнительными машинами и не отменяют необходимости изолировать учётные данные и настройки OpenClaw.

Если сейчас вы используете один Gateway для всех, главные издержки — неопределённость границы доступа, общий радиус последствий ошибки и сложность аудита того, кто менял общую конфигурацию. Не устраняйте их обещанием, что сессии или Agent-песочницы обеспечивают полную изоляцию. Сначала зафиксируйте доверительные домены; затем решите, нужно ли разделять экземпляры и хосты. Когда для проверки или запуска требуется временный удалённый Mac, аренда у VpsMesh может быть удобнее немедленной покупки оборудования, но только после подтверждения, что фактические условия размещения соответствуют вашим требованиям. Для этого изучите варианты аренды Mac у VpsMesh и переходите к обсуждению решения лишь с готовым перечнем требуемых границ.