AIDBS Agent 安全用数套件快速上手

步骤一：安装 OpenClaw 2.0 与预装组件

套件安装包预装全部组件，OpenClaw 2.0 主程序与 DataGuard for Agent、Agent 数据网关、AIDBS Skills 一同就位，安装完成后直接进入初始化引导，无需逐项配置。安装支持 macOS 与 Windows 两类平台，请根据您的平台执行对应的一键安装命令。

macOS 安装命令：

curl -fsSL https://d.tb.cn/openclaw/install.sh | bash

Windows 安装命令（PowerShell）：

powershell -ExecutionPolicy Bypass -Command "irm https://d.tb.cn/openclaw/install.ps1 | iex"

步骤二：领取免费 Token 并完成初始化

OpenClaw 初始化需要一个大模型 API Key。您可以先登录阿里云领取 Qwen3.8-Max 免费 Token 权益（100 万 Token，90 天内有效），或准备自有 API Key，再完成初始化并开始对话。免费 Token 权益的领取步骤如下：

1. 登录阿里云官网 https://www.aliyun.com，单击页面右上角的登录。

2. 登录成功后，打开免费 Token 权益页 https://aidbs.console.aliyun.com/model-operator-credential，页面会展示当前阿里云账号的 UID。

3. 填写姓名、手机号与调用来源公网 IP（须与后续实际发起调用的机器出口 IP 一致），阅读并同意相关条款后提交申请。

4. 获取调用凭证与 API Key 后，返回 OpenClaw 初始化引导，模型厂商选择阿里云百炼，填入该 API Key 并完成校验。

步骤三：绑定大模型 API Key

首先将 API Key 配置到 OpenClaw 的配置文件。以 Windows 系统为例，在终端执行以下命令打开配置文件：

start ~/.openclaw/openclaw.json

打开后，将以下模型配置粘贴至 openclaw.json 配置文件中：

"models": {
  "providers": {
    "aidbs": {
      "baseUrl": "https://ai-gateway-aidbs-pro.proxy.dms.aliyuncs.com/openclaw/v1",
      "apiKey": "请替换为您的自有大模型 API Key，或领取的阿里云权益 API Key",
      "api": "openai-completions",
      "models": [
        {
          "id": "qwen3.8-max",
          "name": "qwen3.8-max"
        }
      ]
    }
  }
}

新建终端页，重新注册并启动网关。第一条命令完成注册，第二条命令立即拉起网关，之后开机自启：

openclaw gateway install
openclaw gateway start

配置完成后，在命令行执行 openclaw 唤醒，验证 OpenClaw 初始化是否成功。

步骤四：创建阿里云 RAM 用户并配置权限

要让 DataGuard for Agent、Agent 数据网关与 AIDBS Skills 完成云端鉴权，需要配置阿里云 RAM AccessKey。请单独创建 RAM 用户，并为其配置对应产品的权限。相关控制台入口如下：

• DataGuard for Agent 控制台：https://aidbs.console.aliyun.com/#/agent-guard。

• Agent 数据网关控制台：https://aidbs.console.aliyun.com/agent-gateway。

步骤五：写入阿里云凭据

为保证安全性，获取 AccessKey 后请勿将密钥粘贴进任何对话。请先在终端运行对应系统的一键命令，将凭据写入 ~/.aliyun/config.json（Windows 为 %USERPROFILE%\.aliyun\config.json），只需替换命令中的两个占位符；再在 OpenClaw 对话中发送不含密钥的启用提示词。

macOS 或 Linux 一键写入凭据命令（仅替换 AccessKey ID 与 AccessKey Secret 占位符）：

mkdir -p ~/.aliyun && printf '{
  "current": "default",
  "profiles": [
    {
      "name": "default",
      "mode": "AK",
      "access_key_id": "<您的 AccessKey ID>",
      "access_key_secret": "<您的 AccessKey Secret>",
      "region_id": "cn-hangzhou"
    }
  ]
}
' > ~/.aliyun/config.json && chmod 600 ~/.aliyun/config.json

Windows PowerShell 一键写入凭据命令（仅替换 AccessKey ID 与 AccessKey Secret 占位符）：

New-Item -ItemType Directory -Force -Path "$HOME\.aliyun" | Out-Null; @{ current = 'default'; profiles = @(@{ name = 'default'; mode = 'AK'; access_key_id = '<您的 AccessKey ID>'; access_key_secret = '<您的 AccessKey Secret>'; region_id = 'cn-hangzhou' }) } | ConvertTo-Json -Depth 4 | Set-Content -Path "$HOME\.aliyun\config.json" -Encoding utf8

在 OpenClaw 对话中发送以下一句话启用提示词（不含密钥）：

读取 ~/.aliyun/config.json 校验阿里云凭据，并启用 DataGuard for Agent、Agent 数据网关与 AIDBS Skills。

AccessKey 校验成功后，DataGuard for Agent 与 Agent 数据网关分别负责行为安全与通道安全：前者识别 Agent 行为风险并按策略处置，后者独立执行身份、数据权限与出口控制，不因 DataGuard for Agent 的模式切换而取消越权防护。

步骤六：开启防护模式并按需调用 Skill

登录 DataGuard for Agent 控制台，开启守护模式，即可实现对 OpenClaw 上 Agent 行为的实时安全拦截，并内置敏感信息保护等策略。若只需记录操作而不需要实时拦截，保持观察模式即可。

安全能力启用后，预装的 AIDBS Skills 即可按需调用，并支持在对话中按场景高优推荐：当问题命中某个 Skill 的场景时，OpenClaw 会优先调用该 Skill。

Q：不绑定阿里云 UID 能用吗？

A：可以。使用自有大模型 API Key 完成 OpenClaw 初始化后，即可开始基础对话；仅在领取免费大模型 API Key 权益时才需要绑定阿里云 UID。如需启用 DataGuard for Agent、Agent 数据网关与 AIDBS Skills 的云端能力，还需要按照步骤四配置专用 RAM 用户的 AccessKey。

Q：大模型 API Key 与 RAM AccessKey 有什么区别？

A：大模型 API Key 用于调用模型，让 OpenClaw 能够对话和完成通用任务，可以领取免费权益，也可以填写自有 Key。阿里云 RAM AccessKey 用于识别阿里云身份，并授权 DataGuard for Agent、Agent 数据网关与 AIDBS Skills 调用云端能力。两类凭据用途不同，不能互相替代。

Q：DataGuard for Agent 与 Agent 数据网关有什么区别？

A：DataGuard for Agent 负责管控行为，识别提示词注入、高危命令、敏感数据泄露、会话劫持和工具滥用，并按策略记录、告警或阻断。Agent 数据网关负责管控数据通道，校验 Agent 身份与数据权限，管控请求下行、结果上行和数据出口，对经过网关的越权访问默认拦截。两者通过统一身份与事件链路协同。

Q：观察模式或守护模式会影响 Agent 数据网关吗？

A：不会。观察模式与守护模式属于 DataGuard for Agent：观察模式记录并告警，守护模式进一步阻断高风险行为。Agent 数据网关独立执行身份、权限和出口控制，不因 DataGuard for Agent 的模式切换而取消越权防护。若 Agent 绕开网关直接连接数据库，则不在网关默认阻断范围内；此时 DataGuard for Agent 仍会记录并告警，您也可以通过自定义策略进行拦截。

Q：数据库安全审计会随安装自动开通吗？

A：不会。数据库安全审计不是套件的预装组件，需要在阿里云数据库控制台按需开通。开通后可提供数据库侧的 SQL 留痕、异常告警与溯源取证能力。

Q：凭据与日志如何保存？

A：大模型 API Key 与阿里云 RAM AccessKey 仅保存在本机；阿里云凭据统一写入阿里云 CLI 标准配置文件 ~/.aliyun/config.json（仅当前用户可读写），不上传服务端。DataGuard for Agent 的行为与处置记录、Agent 数据网关的访问与拒绝记录，可在相应控制台查询；数据库 SQL 审计日志仅在按需开通安全审计后产生。确需上传的诊断与安全日志会在出端前脱敏。

Q：支持哪些操作系统？

A：当前支持 macOS 与 Windows，一键安装命令请参见步骤一。

Q：大模型权益领取失败怎么办？

A：如果领取大模型权益时报错 No APIG API found for biz path: /openclaw，可能是浏览器缓存未清空。请打开无痕浏览器，重新登录阿里云官网，再进入权益页领取。