服务实例部署与计费

Agent Manager 服务实例部署与计费

本页说明如何在阿里云计算巢创建 Agent Manager 服务实例。部署前确认费用、前提条件、权限和参数；部署完成后按本页验证平台地址和管理员入口。

服务说明

部署完成后，使用服务实例输出的管理员地址完成初始化。随后配置用户、模型、Agent 类型、沙箱配置和 Token 限流。

用户创建 Agent 实例后，通过访问链接使用 Agent 页面、终端和文件上传。

服务通过计算巢和 ROS 模板部署到已有 ACS/ACK Sandbox 集群中。

部署过程会创建或接入 Supabase，部署 Agent Manager 工作负载，并按参数创建 Agent 访问网关、OSS 存储和可选的阿里云 AI 网关。

计费说明

Agent Manager 服务实例通过计算巢编排云资源。实际费用以创建服务实例页面和订单确认页面的实时价格为准。

创建服务实例前，重点确认以下费用来源：

提交订单前，确认账户余额、资源配额和目标地域库存。使用 RAM 用户部署时，确认 RAM 权限已满足本页要求。

部署架构

部署完成后，访问链路如下：

浏览器
  -> 平台公网 SLB
  -> Agent Manager 前端和 API
  -> Supabase / E2B Sandbox / OSS / AI Gateway

如果启用 Agent 访问认证，新建 Agent 的应用访问链接会先进入 Agent 访问网关。网关校验平台登录态和实例归属后，再代理到真实 Agent 页面。

Agent 访问网关与 HTTPS 证书

Agent 访问网关用于保护 Agent Web 页面。启用后，用户从平台打开应用访问链接时，先经过网关校验登录态和实例归属，再访问真实 Agent。

网关入口的默认行为

启用网关只会改变平台生成的访问链接，不会自动关闭真实 E2B 上游入口。生产环境应优先让真实 E2B 入口只在 VPC 内可达，或通过安全组、ALB/SLB ACL、Ingress 白名单和网络策略限制访问来源。

配置 HTTPS 网关域名

1. 获取 openclaw-agent-gateway Service 的公网 IP，并将域名解析到该 IP。

2. 在平台命名空间创建或更新 TLS Secret openclaw-agent-gateway-tls。

NAMESPACE=openclaw-platform
kubectl -n "$NAMESPACE" create secret tls openclaw-agent-gateway-tls \
  --cert=/path/to/fullchain.pem \
  --key=/path/to/tls.key \
  --dry-run=client -o yaml | kubectl apply -f -

3. 重启网关，使 nginx 读取证书。

NAMESPACE=openclaw-platform
kubectl -n "$NAMESPACE" rollout restart deployment/openclaw-agent-gateway
kubectl -n "$NAMESPACE" rollout status deployment/openclaw-agent-gateway --timeout=300s

4. 将平台生成的访问链接切换到 HTTPS 域名，并重启平台 Deployment。

NAMESPACE=openclaw-platform
GATEWAY_DOMAIN="https://<网关域名>"
kubectl -n "$NAMESPACE" patch configmap openclaw-platform-config \
  --type merge \
  -p "{\"data\":{\"AGENT_GATEWAY_DOMAIN\":\"$GATEWAY_DOMAIN\"}}"
kubectl -n "$NAMESPACE" rollout restart deployment/openclaw-platform
kubectl -n "$NAMESPACE" rollout status deployment/openclaw-platform --timeout=300s

5. 打开一个实例的应用访问链接，确认地址使用 HTTPS，并验证页面、终端和文件上传均可用。

网关对外证书只负责浏览器到 nginx 的 HTTPS；nginx 到真实 E2B 上游的校验仍使用平台的 e2b-ca-cert。两个证书不能混用。

网关返回 502

先查看 openclaw-agent-gateway 日志，再区分问题所在链路：

关闭网关后直连可用，不能证明 e2b-ca-cert 正确，因为旧直连路径绕过了 nginx 到 E2B 上游的证书校验。详细排查见 常见问题与排障。

手动切换网关入口

已部署网关时，可以通过平台 ConfigMap 的 AGENT_GATEWAY_DOMAIN 临时切换后续新生成的访问链接：

• http://<网关 SLB IP>:8080：使用 HTTP/IP 网关。

• https://<网关域名>：使用 HTTPS 域名网关。

• 空值：回到旧 E2B 直连地址。

长期配置请通过计算巢服务实例参数 EnableAgentGatewayAccess 管理，避免后续服务实例升级覆盖手工修改。

如果只需要临时切换访问入口，可以直接修改 ConfigMap。每次修改后都要重启平台 Deployment，后续新生成的访问链接才会生效。

# 使用 HTTP/IP 网关
NAMESPACE=openclaw-platform
GATEWAY_IP="$(kubectl -n "$NAMESPACE" get svc openclaw-agent-gateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')"
kubectl -n "$NAMESPACE" patch configmap openclaw-platform-config \
  --type merge \
  -p "{\"data\":{\"AGENT_GATEWAY_DOMAIN\":\"http://$GATEWAY_IP:8080\"}}"
kubectl -n "$NAMESPACE" rollout restart deployment/openclaw-platform
kubectl -n "$NAMESPACE" rollout status deployment/openclaw-platform --timeout=300s

# 使用 HTTPS 域名网关
NAMESPACE=openclaw-platform
GATEWAY_DOMAIN="https://<网关域名>"
kubectl -n "$NAMESPACE" patch configmap openclaw-platform-config \
  --type merge \
  -p "{\"data\":{\"AGENT_GATEWAY_DOMAIN\":\"$GATEWAY_DOMAIN\"}}"
kubectl -n "$NAMESPACE" rollout restart deployment/openclaw-platform
kubectl -n "$NAMESPACE" rollout status deployment/openclaw-platform --timeout=300s

# 关闭网关入口，回到旧 E2B 直连地址
NAMESPACE=openclaw-platform
kubectl -n "$NAMESPACE" patch configmap openclaw-platform-config \
  --type merge \
  -p '{"data":{"AGENT_GATEWAY_DOMAIN":""}}'
kubectl -n "$NAMESPACE" rollout restart deployment/openclaw-platform
kubectl -n "$NAMESPACE" rollout status deployment/openclaw-platform --timeout=300s

前提条件

已准备 Sandbox 集群

部署 Agent Manager 前，需要先准备一个 OpenClaw-ACS-Sandbox 集群版服务实例。

• 国内站：创建 OpenClaw-ACS-Sandbox 集群版实例

• 国际站：创建 OpenClaw-ACS-Sandbox 集群版实例

部署页面中的 Sandbox 集群 ID 要选择该 Sandbox 所在的 K8s 集群。

已确认网络和交换机

如果选择新建阿里云托管 Supabase，请选择集群管控交换机或对应可用区的新交换机。不要选择 OpenClaw 专属交换机。

如果使用已有开源 Supabase，请提前准备浏览器访问 URL、服务端访问 URL、Anon Key、Service Role Key 和数据库连接串。

已准备模型调用方式

模型可在部署后配置。需要部署时自动接入阿里云 AI 网关时，提前准备 DashScope API Key、网关规格和网络类型。

如果部署时启用 AI 网关，请提前从百炼控制台获取 DashScope API Key，并确认该 Key 不会写入公开工单、聊天记录或代码仓库。

RAM 权限

创建服务实例的 RAM 用户或角色，必须具备计算巢服务实例创建权限，以及模板涉及的 ROS、CS、VPC、ECS、OSS 和可选 AI 网关资源的操作权限。具体权限以计算巢创建页的校验结果为准。

模板中的“阿里云访问凭证来源”用于平台访问 OSS、SkillHub、AI 网关等资源，不等同于创建服务实例的 RAM 用户权限。选择“使用已有 AccessKey”时，按页面显示的“已有 AccessKey 权限策略参考”给对应 RAM 用户或角色授权。不要直接把 AccessKey 写入文档、代码仓库或聊天记录。

部署流程

步骤一：进入服务实例创建页

1. 登录阿里云计算巢控制台。

2. 搜索并打开“Agent Manager”服务。

3. 单击开始部署或正式创建，进入创建服务实例页面。

也可以在服务目录中搜索 Agent Manager。服务卡片提供详情页、部署文档和服务实例创建入口。

步骤二：填写前置确认

阅读白名单配置确认说明，并勾选确认框。实例升级和 Skill 挂载依赖 Agent Sandbox 共享存储；启用前确认已评估特权容器和 hostPath 带来的安全责任。

步骤三：填写 Sandbox 配置

1. 在 Sandbox 集群 ID（ClusterId）中选择已有 ACS Sandbox 所在 K8s 集群。

2. 在 K8s 命名空间（PlatformNamespaceName）中填写平台命名空间，默认是 openclaw-platform。

没有可选集群时，先创建 OpenClaw-ACS-Sandbox 集群版服务实例。

步骤四：填写 Supabase 配置

在 Supabase 来源（SupabaseDeploymentMode）中，生产环境推荐选择 CreateNew（新建阿里云托管 Supabase）。

选择 UseExistingOpenSource（使用已有开源 Supabase）时，填写已有 Supabase 的公网 URL、服务端访问 URL、Anon Key、Service Role Key 和数据库连接串。此模式适用于兼容性验证、迁移或测试，不建议用于生产环境。

数据库连接串中的密码如果包含 @、#、% 等特殊字符，先做 URL 编码。

步骤五：填写网络配置

选择 Supabase 所在可用区（ZoneId）、VPC（VpcId）和交换机（VSwitchId）。

如果选择新建阿里云托管 Supabase，请使用集群管控交换机或对应可用区的普通交换机，不要选择 OpenClaw 专属交换机。

步骤六：填写 Agent 访问认证、OSS、AI 网关和访问凭证

1. 在 开启 Agent 访问认证（EnableAgentGatewayAccess）中保持默认开启，除非需要继续使用旧 E2B 直连地址。

2. 在 选择已有/新建的OSS存储桶（OssOption）中选择新建或复用 OSS Bucket。

3. 如果要在部署时启用阿里云 AI 网关，把 是否配置 AI 网关（EnableAIGateway）设为 Yes，填写 DashScope API Key，并选择网关规格和网络访问类型。

4. 在 阿里云访问凭证来源（AccessKeyMode）中选择自动创建 AccessKey 或使用已有 AccessKey。

生产环境建议启用 Agent 访问认证。验证网关访问可用后，收口真实 E2B 上游入口的安全组、ACL 或网络策略。

步骤七：确认订单并创建

1. 检查右侧参数完成度和询价明细。

2. 单击下一步：确认订单。

3. 勾选计算巢服务协议。

4. 单击立即创建。

部署通常需要 5 到 10 分钟。部署期间，在服务实例详情页查看状态、资源和部署日志。

常见部署问题

GlobalTrafficPolicy 网络策略

如果集群使用 GlobalTrafficPolicy 对 Agent Pod 做网络隔离，必须确认 spec.selector.matchLabels 能匹配 SandboxSet 创建的 Pod。新增 Agent 类型或修改 SandboxSet 标签后，需要重新检查 selector。

kubectl edit globaltrafficpolicy openclaw-global-policy

例如，策略需要匹配 OpenClaw Pod 时：

spec:
  selector:
    matchLabels:
      app: agent-manager-openclaw

相同网络规则可以扩展现有 selector；不同网络规则应新建独立的 GlobalTrafficPolicy。策略生效后，验证平台、Agent Gateway 和 Sandbox 之间的必要链路仍然可达。

部署参数说明

前置确认

Sandbox 配置

Supabase 配置

网络配置

Agent 访问认证

OSS 存储配置

AI 网关配置

云资源访问凭证

验证结果

查看服务实例状态

1. 打开计算巢控制台。

2. 进入服务实例管理。

3. 找到 Agent Manager 服务实例。

4. 确认状态为已部署。

状态长时间停留在部署中时，先查看服务实例详情页的部署日志。

获取平台访问地址

部署完成后，在服务实例输出中查看以下地址：

打开 API 健康检查 地址。如果返回健康状态，说明平台 API 已启动。

获取初始管理员账号

服务实例输出中包含初始管理员信息：

首次登录后请立即修改管理员密码。