通过ACK集群使用ACS Agent Sandbox部署OpenClaw

通过SandboxClaim获取Sandbox实例

1. 使用 SandboxClaim 从预热池（SandboxSet）中动态获取一个可用的 Sandbox 实例。

   apiVersion: agents.kruise.io/v1alpha1
   kind: SandboxClaim
   metadata:
     name: openclaw-claim-user-a
   spec:
     templateName: openclaw-sbs     # 指定上文部署的 SandboxSet 名称
     replicas: 1                    # 申请的实例数量
     claimTimeout: 1m               # 获取可用实例的超时时间
     ttlAfterCompleted: 5m          # 任务完成后 CR 自动回收的延迟时间
     # 可为申请的资源打上自定义label，方便后期使用label selector进行管理
     # labels:
     #   user: user-a

2. 观测SandboxClaim（简写：sbc）状态。

   kubectl get sbc openclaw-claim-user-a

   预期输出：

   NAME                    PHASE       TEMPLATE           DESIRED   CLAIMED   AGE
   openclaw-claim-user-a   Completed   openclaw-sbs   1         1         38s

3. 根据 Label Selector 筛选出与该申请关联的 Sandbox 实例：

   kubectl get sbx -l agents.kruise.io/claim-name=openclaw-claim-user-a

   预期输出：

   NAME                 STATUS    AGE   CLAIMED   SHUTDOWN_TIME   PAUSE_TIME   MESSAGE
   openclaw-sbs-2t8wf   Running   42h   true

提取运行环境元数据

在对 Sandbox 内部环境进行操作前，需提取 Sandbox ID 和 访问密钥 (Token)，请妥善保存以下变量：

1. Runtime Sandbox ID
   格式为：${Namespace}--${SandboxName}。
   在本示例中为：default--openclaw-sbs-2t8wf。

2. Runtime 访问密钥
   替换以下<YOUR_SANDBOX_NAME>为上一步输出的Sandbox名称，获取鉴权Token：

   kubectl get sandbox <YOUR_SANDBOX_NAME> -o jsonpath='{.metadata.annotations.agents\.kruise\.io/runtime-access-token}'

初始化 OpenClaw 环境

推荐使用 Runtime Client 链路 进行初始化。该方式相比直接通过 K8s 原生运维，具有细粒度管理、高并发支持、权限控制更精细等优势。以下为E2B SDK操作示例。

1. 在本地环境中安装Python。

2. 安装E2B Python SDK（仅支持小于v2.25.0的版本）。

   pip install "e2b-code-interpreter==2.7.0" "e2b==2.24.0"

3. 连接Sandbox，修改OpenClaw配置并重启。

   1. 创建openclaw-template.json文件。

      由于该文件所配置的访问控制和权限较大，请勿在生产环境中直接使用。

      {
          "agents": {
              "defaults": {
                  "model": {
                      "primary": "bailian/qwen3.5-plus"
                  },
                  "workspace": "~/.openclaw/workspace"
              }
          },
          "models": {
              "mode": "merge",
              "providers": {
                  "bailian": {
                      "baseUrl": "https://dashscope.aliyuncs.com/compatible-mode/v1",
                      "apiKey": "${DASHSCOPE_API_KEY}",
                      "api": "openai-completions",
                      "models": [
                          {
                              "id": "qwen3.5-plus",
                              "name": "通义千问",
                              "input": [
                                  "text"
                              ],
                              "contextWindow": 1000000,
                              "maxTokens": 65536
                          }
                      ]
                  }
              }
          },
          "commands": {
              "native": "auto",
              "nativeSkills": "auto",
              "restart": true,
              "ownerDisplay": "raw"
          },
          "gateway": {
              "port": 18789,
              "bind": "lan",
              "controlUi": {
                  "allowedOrigins": [
                      "*"
                  ],
                  "dangerouslyAllowHostHeaderOriginFallback": true,
                  "allowInsecureAuth": true,
                  "dangerouslyDisableDeviceAuth": true
              },
              "auth": {
                  "mode": "token",
                  "token": "${GATEWAY_TOKEN}"
              }
          }
      }

   2. 创建update-openclaw-json.py文件。以下示例通过 E2B SDK 经Sandbox Gateway远程连接到已分配的Sandbox，将 OpenClaw配置文件写入容器内/home/node/.openclaw/openclaw.json，触发OpenClaw自动重启并加载最新配置。

      注意：请确保在运行脚本前已通过export或.env文件设置了这些变量。

      GATEWAY_TOKEN: 自定义的OpenClaw网关访问令牌。

      DASHSCOPE_API_KEY： 阿里云百炼的 API Key，可前往百炼API Key页面获取。

      import os
      from string import Template
      from e2b_code_interpreter import Sandbox
      from e2b.connection_config import ConnectionConfig
      from packaging.version import Version
      
      gateway_url = "sandbox-gateway.sandbox-system.svc.cluster.local:7788"
      # 可通过kubectl转发后，在本地测试 kubectl port-forward svc/sandbox-gateway -n sandbox-system 7788:7788
      # gateway_url = "127.0.0.1:7788"
      
      sandbox_id="default--openclaw-sbs-2t8wf"
      # 容器内驻守的运维Server鉴权token
      runtime_token = "<YOUR_RUNTIME_ACCESS_TOKEN>" # 需替换为前文提取的 Runtime 访问密钥
      
      config = ConnectionConfig(
          domain=gateway_url,
          api_key="dummy",
          sandbox_url=f"http://{gateway_url}",  # 按需使用http，或https
          extra_sandbox_headers={
              "X-Access-Token": runtime_token,
              "e2b-sandbox-id": sandbox_id,
              "e2b-sandbox-port": "49983",
          },
      )
      
      # 直接构造 Sandbox 对象
      sbx: Sandbox = Sandbox(
          sandbox_id="dummy",
          sandbox_domain="dummy",
          envd_version=Version("0.2.11"),
          envd_access_token="dummy",
          traffic_access_token=None,
          connection_config=config,
      )
      
      # 从本地环境变量中获取配置
      GATEWAY_TOKEN = os.environ.get("GATEWAY_TOKEN")
      DASHSCOPE_API_KEY = os.environ.get("DASHSCOPE_API_KEY")
      
      # 渲染 openclaw-template.json 文件
      template_path = "openclaw-template.json"
      with open(template_path, "r") as f:
          template_content = f.read()
      
      rendered_content = Template(template_content).safe_substitute(
          GATEWAY_TOKEN=GATEWAY_TOKEN,
          DASHSCOPE_API_KEY=DASHSCOPE_API_KEY,
      )
      
      # 将渲染后的文件覆盖沙盒中 /home/node/.openclaw/openclaw.json 的内容，触发openclaw重启更新配置
      # 注意标明写文件使用的权限
      sbx.files.write("/home/node/.openclaw/openclaw.json", rendered_content, user="node")
      print("已将渲染后的配置写入沙盒 /home/node/.openclaw/openclaw.json")

   3. 执行代码创建OpenClaw Sandbox。

      uv run update-openclaw-json.py

      预期输出：

      已将渲染后的配置写入沙盒 /home/node/.openclaw/openclaw.json