install.sh でベアメタル launchd（または systemd）常駐に寄せるかで分かれます。README 以前の摩擦として、匿名ボリュームが OPENCLAW_HOME を消し、コンテナ内 127.0.0.1 バインドがエッジ到達を偽装し、openclaw doctor が開発 Mac では緑なのにスリムイメージでは欠損検知するケース、18789 の衝突、シンガポールで運用しながらゲートウェイを安価リージョンだけに置く地理ミスマッチがあります。本稿では状態とシークレットの持ち方、公開 wss 記述、シンガポール・東京・ソウル・香港・米東・米西のメトロ配置を二系統の視点から揃えます。
イメージは成功でも OpenClaw Gateway が夜中に不安定に見える理由
Gateway は長寿命の制御面で、WebSocket・CLI RPC・セッションとアダプタが既定 18789 を共有します。Docker は不変レイヤの配布に強い一方、制御面は本質的にステートフルです。OPENCLAW_HOME をホストパスにバインドしないと、チャネルキャッシュはロールアウトで蒸発し、リモート側には一断続の切断が観測され、自動再試行がスロットリングに突き当たります。ネットワーク名前空間での 127.0.0.1 バインドは、同僚の CLI や Nginx から見た到達性と一致しないことが多く、ログは近いのにトラフィックは届かないという錯覚を生みます。三つ目は診断で、開発 Mac では openclaw doctor が緑でも、スリムイメージでは動的ライブラリやケーパビリティ欠落で本番初手が崩れることがあります。四つ目はトークンで、可書込レイヤにだけ置いたリフレッシュ資料は、Compose や Kubernetes の再作成でピーク時間帯に一斉再認可を招きます。五つ目は地理で、対話中心のチームが東京とソウルにいるのに安価リージョンへだけ Gateway を置くと、CPU は遊んでいても人手 CLI の体感 RTT が上がります。
install.sh ベアメタルは、launchd や systemd の再起動が通常サービスと同じという近さを返します。Safari・Xcode CLI・画面共有に寄り添うワークロードでは、ネスト仮想化を増やさずに済み、ログも既存の Mac 運用と揃います。その代わり OS アップグレードやツールチェーンの揺れを正面から管理します。規制環境では、レビュー用にDocker、本番 Gateway はボリュームと鍵を固定したベアメタル、という二相が現実的です。
ブラウザ自動化や手動の TestFlight 操作、重いデスクトップ連携が前提ならベアメタル macOS が向きやすく、API と WebSocket だけならボリュームとネットワーク契約を厳密にした Docker が爆散半径を狭めます。いずれもライフサイクル全体、合流と強制再起動、トークン回転、アップグレード、復旧を一つの物語として文書化するのが安全です。シンガポールと米東で実測 RTT とヘルスチェック URL を印刷用に残すと、深夜当番は抽象より都市名を覚えています。
匿名ボリューム症候群：OPENCLAW_HOME がホストに無く、リリースのたびにキャリブレーションが消えます。
ループバックの罠：Gateway WS が netns 内だけに見え、プロキシやリモート CLI が本命ソケットに触れません。
doctor の偽陰性：イメージが瘦せすぎてノートと本番の診断が一致しません。
18789 衝突：サイドカーや第二ゲートウェイ試行が既定三重項を奪い EADDRINUSE に落ちます。
地理ミスマッチ：インタラクション主体がアジアなのにコントロールプレーンだけ米国に置かれます。
セキュリティはループバック越えの前に関与させ、WebSocket 拡張にはリバースプロキシ認可と ACL とシールされたシークレを同じテンポで回します。コンテナか金属かは実装場所を変えるだけで、職務を消しません。Runner を六地域にまたいでいるなら、ビルド機と制御面の役割を混同せず、人が最も手を動かすメトロへ寄せるのが体感品質を守ります。
ポート公開と wss 記述が一致するまで CPU を増やすのは後回しにし、まずマウントとマッピングを確定させます。順序が逆だと、アイドルコアばかり買うことになります。ログに個人情報が混ざる可能性がある場合は保存期限と目的を書面上で区切り、アクセス制御を固定します。
クラウド Mac における Docker 分離と install.sh デーモンの比較表
表は法ではなく合意形成のためです。CI で digest を揃えたいチームは Docker に寄り、GUI 隣接が多いチームは install.sh と launchd に留まりがちです。コストは月額だけでなくトークン喪失や公開表の誤記によるインシデント工数も含めます。ステージングをシンガポールや東京で一度ずつ通し、本番デフォルトを決める前に挙動差を記録してください。
| 次元 | Docker 分離 | install.sh ベアメタル |
|---|---|---|
| 永続化 | OPENCLAW_HOME・ログ・鍵に明示ボリュームが要る | 既定でホストパスへ。スナップショットと既存手順が活きる |
| アップグレード | レジストリ digest で昇降格が素早い | パッケージ pin とスクリプトで古典的運用 |
| 再起動 | オーケストレータがコンテナ交換、ドレナ無しなら切断 | デーモンスバンスは通常のランブック |
| リスナ公開 | 18789 を bridge か host で整列、bind と netns が連動 | OPENCLAW_GATEWAY_PORT で多 instance を直に観測 |
| デスクトップ負荷 | GUI/Metal 隣接は重い | Safari・Xcode 経路が最短 |
| 観測性 | コンテナ ID とホストログの結合が追加作業 | 統合ログとクラッシュレポートと揃う |
再起動のされ方は変わっても、WebSocket・トークン・bind の三角形は残ります。
香港に Gateway を置きオペレータがロサンゼルス中心なら自動化は動いても人手は鈍感になるため、インタラクション密度の高いメトロへ寄せます。
使い捨て再現には Docker が強く、短 TTL トークンで放置コンテナを鍵の墓場にしないこと。常時 GUI と 7x24 を同居させるならベアメタルのほうが摩擦が少ないことがあります。
選んだ都市の理由をコンプライアンス・ピアリング・オペレータ近接のどれかに結び付け、将来の自分が名前勝ちで止めないようにします。
ボリューム、18789 公開、Gateway WS バインドの Compose 骨格
YAML 風スニペットはレビューで差分の意図を揃えるためで、ベンダー固定ではありません。OPENCLAW_HOME・ログ・シークレを同じ画面に置き、README・Compose・Nginx の三段不一致を防ぎます。ベアメタル側は同名環境変数でステージングと本番を綴り字だけ差し替えます。
service: openclaw-gateway image: registry.example/openclaw@sha256:... ports: - "18789:18789" environment: OPENCLAW_GATEWAY_PORT: "18789" OPENCLAW_HOME: /var/lib/openclaw GATEWAY_BIND_MODE: loopback-or-lan-review volumes: - /srv/oc-prod:/var/lib/openclaw - /srv/oc-logs:/var/log/openclaw secrets: - openclaw_tokens_ro クラウド Mac（ベアメタル）: export OPENCLAW_GATEWAY_PORT=18789 export OPENCLAW_HOME=/usr/local/var/openclaw launchctl bootstrap system /Library/LaunchDaemons/org.openclaw.gateway.plist
変更後は本番と同じ実行文脈で openclaw doctor を走らせ、開発ノート単体の緑は参考に留めます。内部 upstream・公開 wss・ヘルスcurl の三 URL を運用書に固定し、ダッシュは緑でも CLI が失敗する分裂を防ぎます。ブルーグリーン二 Gateway ならポートと OPENCLAW_HOME を対で分離し、コンテナと金属の別を問いません。
グローバルに複数ゾーンを跨ぐ場合、NAT 出口と allowlist、WebSocket キープライブが中間で欠ける条件をメモします。メンテナンス窓でセッションが瞬断するなら SLA に合わせドレインや低峰プローブを先に置きます。
ヒント：マウントするトークンは読取専用にし、バインドや認可ポリシー変更後はローテーションします。公開リポジトリに実パスを貼らないでください。
トラフィック投入前の六ステップ（Docker／install.sh 共通）
経路の確定：当該メトロで Docker かベアメタルか、アップグレード owner、ディスク絶対パスを記録します。
永続マッピング：OPENCLAW_HOME・ログ・トークンをバインドし、オーケストレータ再起動後の権限を確認します。
18789 公開：bridge か host と SG を整合させ、ベアメタルでは ss で単一リスナを確認します。
WS バインド方針：ループバック限定か LAN かを決め、公開 wss を文書化します。
現場 doctor：コンテナまたはデーモンと同一シェルで実行し、警告をバージョンと結び付けます。
低峰プローブ：テストメッセージを送り、運用が貼る URL でリモート CLI を再確認し、構成スナップショットを保存します。
各ステップにロールを書き、ポート差し戻しと鍵ローテの責任者を分けます。インシデント二十分で owner が曖昧になると、typo より高くつきます。大型 macOS かベースイメージ更新後はドライランを一度回します。
ロールバック成果物は前進変更の隣に置き、digest か tarball を即取得できる状態を保ちます。
引用導線とシンガポール・東京・ソウル・香港・米東・米西のホスト幾何
リスナ一意性：単一ホストでは健康な Gateway を一つだけ既定ポートに載せ、ステージングはポートと OPENCLAW_HOME を別にします。
トークン耐久クラス：コンテナ再作成後も復号できるシークレでなければ本番ではなくラボです。
メトロ親和：対話オペレータ主流の地域へ制御面を寄せ、六地域判断は RPO/RTO と併記します。
注意：リバースプロキシ認可・ACL・ローテ訓練が済むまで Gateway WebSocket を公網インタフェース全開にしないでください。
匿名ボリュームや公開表抜けが原因なのに CPU を買うのは順序誤りで、規律ある永続化とネット境界とメトロ配置が先です。シンガポール／東京／ソウル／香港／米東／米西で Apple Silicon 専有と電源耐性と柔らかい租貸が欲しいチームにとって、MESHLAUNCH のクラウド Mac mini が現実的な基盤になりやすいです。Docker か install.sh かはその上で選べます。
財務は誤った抽象に起因する垂直スケールを疑い、ログが永続化欠落を示すならインスタンス肥大化よりマッピング修復を優先します。
米西と東京の二系統なら方針は同期し鍵は分離し、冗長理由を文書化して来年のコスト削減で誤って消されないようにします。
必要です。Gateway ホットリロードとリモート多インスタンス にあるソケット／TLS／バインド変更は、コンテナでもプロセス再起動が要るケースとして同じです。
直交します。更新チャネルとロールバック を手順化し、拡張前は 価格ページ でレイヤを確認してください。
まず Linux VPS とクラウド Mac のトラブルシュート を辿り、ポート公開と wss、トークン変数名を添えて ヘルプセンター へ連絡してください。