Docker 多階段構建 · K8s 資源清單 · macOS 節點 Operator · HPA 基於佇列深度的自動擴縮容
你的 OpenClaw 仍在本地直var-run嗎？面對跨團隊協作、彈性伸縮與跨區部署需求，傳統安裝方式已顯不足。本文提供完整的容器化與 K8s 編排方案：如何將 OpenClaw 改造成標準 Docker 映像，並在 macOS 節點上透過 Kubernetes Operator 實現自動化部署、Service 暴露與基於自定義指標（佇列深度）的 HPA 擴縮容。文末含多階段構建優化清單、macOS 特權配置與成本-彈性權衡矩陣。
將 OpenClaw 從本地 Node 遷移到 Docker，再進一步部署到 Kubernetes，並不是為了「追逐技術熱點」，而是為瞭解決生產環境中的真實痛點。
環境不一致：不同開發者與 CI 節點的 Node/npm 版本各有差異，導致「在我機器上能跑」的問題層出不窮。容器化能保證運行時環境完全一致。
擴容效率低：原生 OpenClaw 無法快速複製與水平擴展。當任務佇列堆積時，只能手動啟動新實例，速度遠不及預期。
跨區部署困難：需要將 OpenClaw 部署到多個地區的遠端 Mac 節點時，人工操作容易出錯且難以統一管理。K8s 的聲明式配置讓跨區一致性成為可能。
故障恢復慢：節點宕機後需要人工介入重新安裝與配置。容器編排器能自動檢測故障並重新調度，顯著降低 MTTR。
資源利用率低：每個 OpenClaw 實例獨佔一台機器，資源浪費嚴重。K8s 可以实现多租戶共享與資源配額控制，提升整體利用率。
容器化收益：根據 2026 年 DevOps 調研，已完成容器化的 AI Agent 服務平均故障恢復時間降低 70%，資源利用率提升 40% 以上。
在編寫 Dockerfile 之前，需要先將 OpenClaw 的配置從文件系統遷移到環境變數與外部儲存，這是容器化的關鍵第一步。
| 原配置（file） | 容器化方案 | 說明 |
|---|---|---|
openclaw.json 中的 API keys | ConfigMap / Secret | 敏感資訊必須用 K8s Secret 或外部 vault 管理 |
storage.type = "file" | 改為 redis 或雲儲存 | 容器文件系統是臨時的，必須外置狀態 |
gateway.address = "0.0.0.0:8080" | 環境變數 GATEWAY_ADDR | 端口映射透過 Docker -p 或 K8s Service 處理 |
skills 本地路徑 | ConfigMap 或 sidecar 容器 | 技能定義應獨立於映像，方便更新 |
logs 寫入本地 | stdout/stderr + sidecar 收集 | 遵從 12FA 應用規範，日誌輸出到控制台 |
核心改動：將 openclaw.json 改為從環境變數讀取。示例：
{
"storage": {
"type": "redis",
"host": "${REDIS_HOST}",
"port": 6379,
"password": "${REDIS_PASSWORD}"
},
"gateway": {
"address": "${GATEWAY_ADDR}",
"adminPort": "${ADMIN_PORT}"
},
"llm": {
"provider": "${LLM_PROVIDER}",
"apiKey": "${LLM_API_KEY}"
}
}
一個高效、安全的 Docker 映像是 K8s 編排的基礎。採用多階段構建來減輕體積、增強安全性，並添加健康檢查以便 K8s 監控。
選擇精簡基礎映像：使用官方 Node.js（如 node:18-alpine）作為運行階段基礎，而非完整 OS，以降低攻擊面。
多階段構建：第一階段安裝依賴並編譯；第二階段僅保留運行時必需文件，映像體積減少 60% 以上。
非 root 使用者：在 Dockerfile 中建立專用使用者（如 openclaw）並用 USER 切換，避免容器內以 root 運行。
添加健康檢查：在 Dockerfile 中聲明 HEALTHCHECK，呼叫 OpenClaw 的 /health 端點，確保容器啟動後服務可用。
暴露 port：透過 EXPOSE 8080 聲明服務端口，K8s Service 據此進行流量轉發。
層優化：將依賴安裝與原始碼複製分開，利用 Docker 層快取加速構建；使用 npm ci --only=production 避免 dev 依賴進入生產映像。
# 構建階段
FROM node:18 AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build
# 運行階段
FROM node:18-alpine
WORKDIR /app
RUN addgroup -g 1001 -S openclaw && adduser -u 1001 -S openclaw -G openclaw
COPY --from=builder --chown=openclaw:openclaw /app/dist ./dist
COPY --from=builder --chown=openclaw:openclaw /app/node_modules ./node_modules
COPY --from=builder --chown=openclaw:openclaw /app/package*.json ./
USER openclaw
EXPOSE 8080
HEALTHCHECK --interval=30s --timeout=3s --start-period=10s --retries=3 \
CMD node -e "require('http').get('http://localhost:8080/health', (r) => {if(r.statusCode!==200)throw new Error('unhealthy')})"
CMD ["node", "dist/index.js"]
完整的 Kubernetes 部署需要多個資源對象協同工作以下是在遠端 Mac 節點上運行 OpenClaw 的最小可行集合。
| 資源類型 | 用途 | 關鍵欄位 |
|---|---|---|
| Deployment | 管理 Pod 副本數與滾動更新 | replicas, strategy, template |
| Service | 內部負載均衡與 DNS 發現 | type (ClusterIP), ports, selector |
| Ingress | 外部 HTTP/HTTPS 路由 | rules, host, path, backend service |
| ConfigMap | 非敏感配置存儲 | data, immutable |
| Secret | 敏感資訊（API keys、密碼） | type: Opaque, data (base64) |
以下是一個完整的 YAML 示例，包含 OpenClaw 的 Deployment、Service、Ingress 和 ConfigMap。Secret 需單獨建立。
apiVersion: apps/v1
kind: Deployment
metadata:
name: openclaw
labels:
app: openclaw
spec:
replicas: 2
selector:
matchLabels:
app: openclaw
strategy:
type: RollingUpdate
rollingUpdate:
maxSurge: 1
maxUnavailable: 0
template:
metadata:
labels:
app: openclaw
spec:
containers:
- name: openclaw
image: your-registry/openclaw:latest
ports:
- containerPort: 8080
env:
- name: GATEWAY_ADDR
value: "0.0.0.0:8080"
- name: REDIS_HOST
valueFrom:
configMapKeyRef:
name: openclaw-config
key: redis.host
- name: REDIS_PASSWORD
valueFrom:
secretKeyRef:
name: openclaw-secret
key: redis.password
readinessProbe:
httpGet:
path: /health
port: 8080
initialDelaySeconds: 15
periodSeconds: 10
livenessProbe:
httpGet:
path: /health
port: 8080
initialDelaySeconds: 30
periodSeconds: 30
resources:
requests:
memory: "256Mi"
cpu: "250m"
limits:
memory: "512Mi"
cpu: "500m"
---
apiVersion: v1
kind: Service
metadata:
name: openclaw
spec:
selector:
app: openclaw
ports:
- protocol: TCP
port: 80
targetPort: 8080
type: ClusterIP
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: openclaw
annotations:
nginx.ingress.kubernetes.io/rewrite-target: /
spec:
rules:
- host: openclaw.vpsmesh.com
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: openclaw
port:
number: 80
---
apiVersion: v1
kind: ConfigMap
metadata:
name: openclaw-config
data:
redis.host: "redis-cluster.vpsmesh.com"
llm.provider: "openai"
Kubernetes 通常運行在 Linux 集群上，但要在遠端 Mac 節點部署 OpenClaw 需要處理硬體綁定、權限與特權模式等特殊性。Kubernetes Operator 可封裝這些複雜性，實現自動化運維。
node-role.kubernetes.io/macos=true）和親和性規則確保 Pod 調度到 Mac 節點。securityContext.privileged: true 或 allowPrivilegeEscalation: true 啟用，但嚴格限制使用範圍。k8s-device-plugin）並在資源限制中宣告 limits: apple.com/metal: 1。hostPath 或 Local PV 暴露，但需注意資料持久性與遷移問題。OpenClawAgent 轉換為 Deployment、Service 等原生資源，實現一鍵部署與生命週期管理。安全警告：在 macOS 上運行容器時，內核級隔離不如 Linux 嚴格。务必在沙箱環境中測試特權容器，並限制可排程的節點範圍。
Operator 的骨架示例（使用 Kopf）：
import kopf
@kopf.on.create('openclawvpsmesh.io', 'v1', 'openclawagents')
def create_fn(spec, **kwargs):
image = spec.get('image', 'your-registry/openclaw:latest')
replicas = spec.get('replicas', 1)
redis_host = spec['redis']['host']
redis_password = spec['redis'].get('password')
deployment = {
"apiVersion": "apps/v1",
"kind": "Deployment",
"metadata": {"name": f"openclaw-{kwargs['name']}"},
"spec": {
"replicas": replicas,
"selector": {"matchLabels": {"app": "openclaw"}},
"template": {
"metadata": {"labels": {"app": "openclaw"}},
"spec": {
"containers": [{
"name": "openclaw",
"image": image,
"env": [
{"name": "REDIS_HOST", "value": redis_host},
{"name": "REDIS_PASSWORD", "value": redis_password}
],
"ports": [{"containerPort": 8080}]
}]
}
}
}
}
return {"status": "created"}
OpenClaw 的負載與任務佇列深度直接相關。K8s 的 HorizontalPodAutoscaler 可以基於自定義指標（如佇列長度、任務回應時間）自動調整副本數，實現彈性伸縮。
| 指標類型 | 描述 | 擴縮容閾值 | 冷卻時間 |
|---|---|---|---|
| CPU 使用率 | Pod CPU 使用百分比 | 擴容 >70%，縮容 <30% | 300s |
| 記憶體使用率 | Pod 記憶體使用百分比 | 擴容 >80%，縮容 <40% | 300s |
| 佇列深度 | OpenClaw 待處理任務數 | 擴容 >50 任務，縮容 <10 任務 | 180s |
| 任務回應時間 | P95 延遲 | 擴容 >2s，縮容 <500ms | 300s |
要實現基於佇列深度的擴縮容，需要部署 Prometheus 監控棧與 OpenClaw 的 metrics exporter，透過 Custom Metrics API 將佇列深度暴露給 HPA。HPA 配置示例：
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
name: openclaw-hpa
spec:
scaleTargetRef:
apiVersion: apps/v1
kind: Deployment
name: openclaw
minReplicas: 2
maxReplicas: 10
metrics:
- type: Resource
resource:
name: cpu
target:
type: Utilization
averageUtilization: 70
- type: Pods
pods:
metric:
name: openclaw_queue_depth
target:
type: AverageValue
averageValue: 50
behavior:
scaleDown:
stabilizationWindowSeconds: 300
policies:
- type: Pods
value: 1
periodSeconds: 300
scaleUp:
stabilizationWindowSeconds: 60
policies:
- type: Pods
value: 2
periodSeconds: 60
成本與彈性權衡：過低的副本下限會浪費資源，而過高的延遲閾值可能導致頻繁擴縮容（flapping）。建議先在非高峰時段進行壓測，確定合理基值後再上線。
容器化與 K8s 編排並非「銀彈」，它們帶來了運維複雜性與資源開銷。以下三條硬核數據可幫助判斷是否值得投入。
stabilizationWindowSeconds 與擴縮容步長，避免「振盪」。自建容器化平台需要深厚的 Kubernetes 與 macOS 底層知識，包括映像構建、資源調度、網路策略與安全加固。對於大多數團隊而言，這項技術門檻與持續運維負擔並不低。
因此，對於希望快速獲得 OpenClaw 高可用、彈性伸縮能力的生產環境，VpsMesh 的 OpenClaw 托管服務通常是更優解。我們提供預裝 OpenClaw 的 Mac Mini M4 節點、自動伸縮與跨區容災，無需你親自編寫複雜的 Operator 與 HPA 配置。想了解如何以最低啟動成本獲得企業級 OpenClaw 部署？可以查看我們的定價頁或直接線上訂購。
主要改動是將配置外置。技能定義應從本地目錄移至 ConfigMap 或 ConfigMap 卷掛載；將硬編碼路徑替換為環境變數。同時確保所有文件存取都透過宣告性卷進行，而非直接寫容器內路徑。詳細步驟可參考我們的幫助中心容器化部署頁。
macOS 上的容器生態不如 Linux 成熟。特權容器、設備外掛程式、CNI 網路的支持有限。建議使用輕量級發行版如 k3s 或 minikube，並僅運行無特權或有限特權的負載。對於高Requirements需求，評估是否必須容器化，或直接使用 VpsMesh 的托管 OpenClaw 節點。
需要部署 Prometheus 監控棧與 OpenClaw 的 metrics exporter，透過 Custom Metrics API 將佇列深度暴露給 HPA。然後在 HPA YAML 中使用 type: Pods 並引用對應指標名稱。具體適配器配置可查看 Kubernetes 官方文件中的「使用 Prometheus 作為自定義指標源」。