2026 OpenClaw mit Feishu / Lark und Microsoft Teams: Reproduzierbares Runbook zu Authentifizierung, Langverbindungen und Unternehmens-Egress auf dem ZoneMac-Physischer-Fern-Mac-Gateway (openclaw.json-Fragmente + 401/429-FAQ)

2. Schmerzpunkte, die Unternehmen wirklich treffen

1. Getrennte Mandanten-Identität: Feishu-CN, Lark Global und Entra ID für Teams teilen selten ein App-Verzeichnis. Ein Token aus der Sandbox scheitert in Produktion mit undurchsichtigen 401, bis Authority-URLs und Verification-Geheimnisse exakt passen.
2. Egress-Allowlists und SNAT-Drift: Anbieter pinen ausgehende IPs für Webhooks oder Richtlinien. Pools, die den Egress wechseln, ohne IT-Ticket zu aktualisieren, erzeugen plötzliche Signatur- oder Challenge-Fehler.
3. Langverbindungen vs. Proxy-Idle: SDKs halten WebSockets oder lange HTTP-Ketten offen; Forward-Proxies trennen ruhende Flows oft nach etwa fünf bis fünfzehn Minuten, wenn Keepalives und PAC-Routing nicht stimmen.
4. Audit und Least Privilege: Jede Plattform verlangt andere Scopes—Graph-Kanäle vs. Lark-im:message-Familie vs. Feishu-Event-Abos. Zu breit scheitert am Review, zu eng an Laufzeit mit 403/404-Rauschen.

3. Entscheidungsmatrix: ein Fern-Mac-Gateway vs. getrennte Bots

Für Architektur-Reviews, wenn Sie Vertrauen zentral auf einem stationären Mac terminieren wollen.

4. Sieben-Schritte-Runbook (ZoneMac-physischer Fern-Mac)

1. Endpunkt-Inventar einfrieren: *.feishu.cn, open.feishu.cn, Lark-Open-Platform-Hosts Ihres Shards, login.microsoftonline.com, graph.microsoft.com (bzw. Gov/GCCH) und Bot-Connector-URLs listen—ein Change-Ticket mit Testbefehlen.
2. Mac am Kabel pinnen: Schlafmodus für den Gateway-User sperren, NTP erzwingen, ausgehende IP nach NAT dokumentieren.
3. OpenClaw an Loopback binden: TLS auf nginx/Envoy oder Zero-Trust-Tunnel terminieren; Weiterleitung auf 127.0.0.1:18789, damit Scanner den Roh-Listener nicht treffen.
4. Secrets ohne GUI injizieren: SecretRef, launchd-EnvironmentVariables oder Keychain—niemals Mandanten-Geheimnisse neben openclaw.json im Repo.
5. Vendor-Challenges über den Produktionspfad: Feishu/Lark-Event-URLs und Teams-Messaging-Endpunkte mit derselben DNS-, Zertifikats- und Proxy-Kette registrieren wie spätere Nutzer:innen.
6. Auth und Drosseln smoketesten: Graph-Lesezugriff mit derselben Token-Klasse wie OpenClaw skripten; Lark/Feishu-Testereignis inkl. Signatur-Header prüfen.
7. Beobachten und Game-Day: Zähler für 401/403/429 und Reconnect-Gründe ausliefern; nach Baseline den lokalen Proxy stoppen und Recovery innerhalb des SLO verifizieren.

5. openclaw.json-Fragmente (illustrativ)

Platzhalter an Ihre Vendor-Doku anpassen; die Struktur zeigt nur, wie Kanäle nebeneinander auf einem Host liegen können.

{
  "gateway": {
    "bind": "127.0.0.1:18789",
    "publicBaseUrl": "https://openclaw-gateway.corp.example",
    "logFormat": "jsonl"
  },
  "channels": {
    "feishu": {
      "appId": "${FEISHU_APP_ID}",
      "appSecret": "${FEISHU_APP_SECRET}",
      "encryptKey": "${FEISHU_ENCRYPT_KEY}",
      "verificationToken": "${FEISHU_VERIFICATION_TOKEN}"
    },
    "lark": {
      "appId": "${LARK_APP_ID}",
      "appSecret": "${LARK_APP_SECRET}",
      "encryptKey": "${LARK_ENCRYPT_KEY}"
    },
    "teams": {
      "tenantId": "${ENTRA_TENANT_ID}",
      "clientId": "${TEAMS_BOT_APP_ID}",
      "clientSecret": "${TEAMS_BOT_SECRET}",
      "graphAudience": "https://graph.microsoft.com/"
    }
  },
  "httpClient": {
    "proxyUrl": "${CORP_HTTPS_PROXY}",
    "respectRetryAfter": true,
    "maxConcurrentGraphRequests": 4
  }
}

Verbietet Security ein globales HTTP_PROXY, pro Kanal splitten oder alles über eine explizite Forward-Proxy-VM in der Region des Macs routen.

5.1 nginx-TLS-Front mit Upstream auf localhost

server {
  listen 443 ssl;
  server_name openclaw-gateway.corp.example;
  ssl_certificate     /etc/ssl/internal/fullchain.pem;
  ssl_certificate_key /etc/ssl/internal/privkey.pem;

  location /feishu/events {
    proxy_pass http://127.0.0.1:18789/feishu/events;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_read_timeout 120s;
  }
  location /teams/api/messages {
    proxy_pass http://127.0.0.1:18789/teams/api/messages;
    proxy_set_header Host $host;
    proxy_read_timeout 120s;
  }
}

6. Zitierfähige Parameter für Design-Notizen

• JWT-Uhr-Skew: Entra-Tokens tolerieren typischerweise etwa ±300 Sekunden zwischen Mac und Referenzzeit; darüber liefert Graph 401 trotz „gültigem“ Secret.
• 429-Behandlung: Retry-After honorieren; exponentieller Backoff oft mit Basis 1–2 s und vollem Jitter bei Fan-out.
• Proxy-Idle-Fenster: Viele Forward-Proxies beenden ruhende TLS-Flows zwischen 300 s und 900 s; Keepalive-Pings unter das beobachtete Minimum setzen.

7. FAQ: HTTP 401 und 429

7.1 Microsoft Graph 401

Tenant-ID in der Token-URL prüfen, National-Cloud-Host abstimmen, Admin-Consent nach Scope-Änderung erneuern und Conditional Access für den Service Principal verifizieren. Claims iat/exp mit sntp -sS time.apple.com auf dem Mac abgleichen.

7.2 Graph- oder Open-Platform-429

Parallele Sync-Jobs drosseln, Verzeichnis-IDs cachen, Polling vermeiden wo Webhooks existieren, Cron-Leselast über Minuten streuen. Getrennte App-Registrierungen nur mit Compliance-Freigabe.

7.3 Feishu / Lark-Verifikation

Encrypt-Keys und Verification-Tokens gemeinsam rotieren; Challenge-Echo auf Roh-Bytes vor JSON-Parser; Callback-URL im Developer-Portal exakt zur TLS-SAN inkl. Slash-Disziplin.