Add NemoClaw sandbox + LiteLLM proxy integration

[kosaku-sim]

概要

NVIDIA NemoClaw（OpenShell）サンドボックスと LiteLLM プロキシを Linux CloudFormation テンプレートに統合。OpenClaw エージェントをカーネルレベルで隔離されたサンドボックス内で実行し、OpenShell の managed inference proxy 経由で Amazon Bedrock にアクセスします。

ホストに OpenClaw (22GB) をインストールせず、サンドボックスイメージ内の OpenClaw のみを使用することで、ディスク使用量を約 5GB に抑えます。

EnableSandbox=false（従来）と EnableSandbox=true（本PR）の比較

項目	EnableSandbox=false（従来）	EnableSandbox=true（本PR）
OpenClaw の場所	ホストに直接インストール（npm, 22GB）	sandbox イメージに内蔵（ホストにインストール不要, ~5GB）
コード実行の隔離	OpenClaw 内蔵の Docker sandbox（アプリレベル）	Landlock + seccomp + Network Namespace（カーネルレベル）
ネットワーク隔離	Docker network（基本的にインターネット到達可能）	デフォルト全遮断、https://inference.local のみ許可
ファイルシステム隔離	Docker volume mount	Landlock LSM で /sandbox と /tmp のみ書き込み可
API キーの保護	コンテナ内の環境変数に存在	sandbox 内に存在しない（OpenShell プロキシがホスト側で注入）
LLM アクセス経路	OpenClaw → Bedrock（直接）	OpenClaw → inference.local → LiteLLM → Bedrock
ディスク使用量	~25GB（Chromium含むnpmパッケージ）	~5GB（sandbox image + LiteLLM venv）

従来の Docker sandbox は OpenClaw のアプリケーション機能で、エージェントのコード実行を Docker コンテナ内で行う仕組みです。NemoClaw sandbox はそれとは異なり、OpenClaw 自体をカーネルレベルで隔離された環境に閉じ込めるため、Docker-in-Docker は不要です。

アーキテクチャ

Browser → SSM Port Forward → host:18789 (SSH LocalForward)
  → Sandbox:18789 (OpenClaw Gateway)
  → https://inference.local (OpenShell managed inference proxy)
  → host.openshell.internal:4000 (LiteLLM on host)
  → Amazon Bedrock

セキュリティモデル（3層のLinuxカーネル隔離）

• Landlock LSM: ファイルシステムアクセス制御（/sandbox と /tmp のみ書き込み可）
• seccomp-BPF: 危険なシステムコールをブロック
• Network Namespace: デフォルトで全アウトバウンド通信を遮断。https://inference.local のみ許可
• クレデンシャル注入: API キーはホスト側の OpenShell プロキシが保持。サンドボックス内には存在しない

変更内容

scripts/setup-nemoclaw-litellm.sh — 完全書き直し

10ステップの自動化スクリプト:

1. inotify制限設定（k3s安定動作に必須）
2. LiteLLM プロキシのインストールと systemd サービス化
3. OpenShell CLI のインストール（NemoClaw installer経由）
4. OpenShell ゲートウェイ起動
5. host.openshell.internal のIP修正（Docker network gateway IP を動的検出）
6. LiteLLM をOpenAI互換プロバイダーとして登録 + inference route 設定
7. Sandbox policy 作成（network_policies で host.openshell.internal:4000 を許可）
8. サンドボックス作成 + CRD hostAliases パッチ + Pod再作成
9. SSH経由でOpenClaw設定配信（https://inference.local/v1 をbaseUrlに使用）+ ゲートウェイ起動
10. SSH LocalForward の systemd サービス化（host:18789 → sandbox:18789）

clawdbot-bedrock.yaml — CloudFormation テンプレート

• EnableSandbox パラメータ（デフォルト: true）で NemoClaw+LiteLLM を制御
• sandbox mode 時に inotify 制限を自動設定
• フォールバック処理: openshell-forward サービス再起動に修正
• sandbox 名を openclaw に統一
• SOUL.md をsandbox mode ではSSH経由で配信
• ダッシュボードURL形式: ?token= → #token= に修正

ドキュメント

• SECURITY.md: NemoClaw + LiteLLM アーキテクチャのセキュリティドキュメント
• TROUBLESHOOTING.md: NemoClaw/LiteLLM トラブルシューティングセクション追加
• README.md: アーキテクチャ図とパラメータ表を更新
• DEPLOYMENT.md: NemoClaw/LiteLLM の確認手順を追加

解決した技術課題

課題	原因	解決策
LLM request timeout	sandbox から LiteLLM に直接到達不可（HTTP proxy が 403）	https://inference.local（managed inference proxy）経由に変更
host.openshell.internal 到達不可	OpenShell が docker0 (172.17.0.1) を設定するが、k3s クラスタは別 Docker network	Docker network gateway IP を動的検出し、CRD hostAliases をパッチ
device token mismatch	sandbox 内の .openclaw/identity ディレクトリ権限不足	SSH 経由で内部からディレクトリ作成（overlayfs キャッシュ問題を回避）
gateway token missing	?token= がリダイレクトで消失	#token=（フラグメント）形式に変更
k3s namespace not ready	inotify インスタンス制限（デフォルト128）を k3s が枯渇	fs.inotify.max_user_instances=512 に設定
OpenClaw config invalid	2026.3.11 のスキーマが異なる（provider, auth.mode 等は無効）	正しいスキーマ（gateway/models.providers/agents.defaults）を使用

テスト計画

• https://inference.local 経由で LiteLLM → Bedrock 接続確認
• Control UI (Health OK, Version 2026.3.11) で日本語チャット動作確認
• sandbox 内 OpenClaw ゲートウェイ起動確認（port 18789）
• EnableSandbox=true で新規 CloudFormation スタックデプロイ（エンドツーエンド）
• EnableSandbox=false で既存 Bedrock 直接接続フローが正常動作
• SSM ポートフォワーディング経由で Web UI にアクセス確認

Closes #1

🤖 Generated with Claude Code