2026年 OpenClaw Gateway 外向き通信ガバナンスとセキュリティガードレール実践：ドメイン許可リスト、Sandbox、監査ログ、人在ループ（HITL）をリモート物理 Mac で再現する Runbook（openclaw.json 断片＋FAQ）

2. よくある痛み

1. 見えない外向きの拡散。 モデルエンドポイント、OAuth 発行者、パッケージミラーを足すたびに影響範囲が広がり、名前付き許可リストがなければインシデント時に「想定トラフィックか侵害か」を切り分けられません。
2. Sandbox 境界のないツール。 シェル・ブラウザ・ファイルツールが共有 Mac のユーザーデータや CI 秘密に触れうる状態では、プロンプトインジェクションがそのままホスト権限でのコマンド実行に繋がります。
3. 監査の欠落と HITL の不在。 request_id 相関とローテーションのない JSONL はディスクを圧迫しコンプライアンスにも耐えません。不可逆操作に承認キューがないと、プール機材上で「静かな運用」リスクが残ります。

3. 意思決定マトリクス：ガードレール × 戦略

左列はセキュリティ上の論点、右列は共有リモート Mac 上の本番エージェントに推奨する最低ラインです。

4. 再現可能な openclaw.json 断片

以下は 例示 です。キー名は利用中の OpenClaw バージョンに合わせ、チャンネル束縛や認証参照を壊さないようマージし、Mac 上にはタイムスタンプ付きバックアップを残してください。

4.1 外向き方針とドメイン許可リスト

{
  "gateway": {
    "outbound": {
      "defaultPolicy": "deny",
      "profiles": {
        "prod-llm": {
          "allowHosts": [
            "api.openai.com",
            "api.anthropic.com",
            "*.openai.azure.com"
          ],
          "denyHosts": ["metadata.google.internal"],
          "tlsMinVersion": "1.2",
          "dns": { "resolver": "system", "ndots": 1 }
        },
        "breakglass-24h": {
          "allowHosts": ["pypi.org", "files.pythonhosted.org"],
          "expiresAt": "2026-04-17T00:00:00Z",
          "ticket": "SEC-4821"
        }
      },
      "activeProfile": "prod-llm"
    }
  }
}

4.2 ツール Sandbox（ワークスペース＋コマンド許可リスト）

{
  "gateway": {
    "tools": {
      "sandbox": {
        "enabled": true,
        "profile": "strict-ci",
        "profiles": {
          "strict-ci": {
            "workspaceRoots": ["/Users/agent/OpenClawWorkspaces/ci-bot"],
            "allowCommands": ["/usr/bin/git", "/usr/bin/curl", "/opt/homebrew/bin/jq"],
            "denyPatterns": ["**/\.ssh/**", "**/Library/Keychains/**"],
            "maxSubprocesses": 4,
            "wallClockMs": 120000,
            "network": "outbound-profile:prod-llm"
          }
        }
      }
    }
  }
}

4.3 監査ログ（JSONL）

{
  "gateway": {
    "audit": {
      "enabled": true,
      "sink": "file",
      "path": "/var/log/openclaw/audit.jsonl",
      "rotateBytes": 268435456,
      "fields": [
        "ts", "request_id", "channel", "actor", "tool", "decision",
        "egress_host", "http_status", "latency_ms", "hil_state"
      ],
      "redact": ["authorization", "cookie", "x-api-key"]
    }
  }
}

4.4 人在ループ（HITL）ゲート

{
  "gateway": {
    "humanInTheLoop": {
      "enabled": true,
      "queues": {
        "default": { "timeoutMs": 300000, "escalateTo": "pagerduty:gateway" }
      },
      "requireApprovalFor": [
        { "toolPattern": "payment.*", "queue": "default" },
        { "toolPattern": "prod-k8s.*", "queue": "default" },
        { "egressHost": "*.corp.internal", "queue": "default" }
      ],
      "dryRunChannels": ["staging-slack"]
    }
  }
}

外向きプロファイル、ツール Sandbox の network、HITL キューを揃えてください。任意ホストを呼べるツールが、ブレークグラス無しで defaultPolicy: deny をすり抜けないようにします。

5. 七ステップ Runbook（リモート物理 Mac）

1. 外向き通信の棚卸し。 1 週間のゲートウェイトレースから FQDN を洗い出し、意図した LLM／OAuth エンドポイントと突き合わせ、締める前に「謎の名前解決」を潰す。
2. 設定のバックアップとブランチ。 cp openclaw.json openclaw.json.bak.$(date +%Y%m%d%H%M)。差分を変更チケットに添付。
3. 外向きと Sandbox ブロックのマージ。 先に defaultPolicy: deny、続いて許可リスト。ツールの network を同名プロファイルに束ねる。
4. JSONL 監査＋ローテーションを有効化。 ログディレクトリがゲートウェイユーザー専用に書けること。方針が求めるならローテ済みファイルを中央ストレージへ。
5. 高影響ツール向け HITL。 決済や本番オーケストレーションから開始。ステージングは dryRunChannels を活用。
6. localhost でのゴールデンテスト。 許可 1 件、意図的拒否 1 件（監査に構造化ブロックが残ること）、承認／タイムアウト双方の HITL キュー投入。
7. 可観測性とレビュー。 拒否率、HITL キュー深さ、監査書き込み失敗をダッシュボード化。許可リストと Sandbox コマンド一覧は四半期レビュー。

6. 拒否／HITL の切り分け

7. 引用用の数値（Runbook 向け）

• JSONL ローテーション： rotateBytes: 268435456（256 MiB）でコールドストレージ送付前にファイル分割。フォレンジックの粒度と APFS の inode 負荷のバランス。
• HITL 既定待機： timeoutMs: 300000（5 分）を社内オペキューの初期値に。p95 承認時間を計測してから顧客向けボットは短縮。
• Sandbox 壁時計： 非ストリーミングツールチェーンの第一上限として wallClockMs: 120000（2 分）。引き上げはチケットとプロファイリング付きで。

8. FAQ

9. まとめとノード選定

外向きガバナンスはエージェントトラフィックを監査可能な契約に変換します：既定拒否の外向き、Sandbox されたツール、構造化 JSONL、失敗コストが高いところでの HITL。このスタックにより、共有物理 Mac 上で OpenClaw を、各ノードを汎用外向き中継にしない運用が可能になります。

無人ゲートウェイには macOS の価値が効きます。Gatekeeper、SIP、FileVault は典型的な Windows フリート基準と比べマルウェア全体クラスのリスクを下げやすく、ネイティブ Unix ツールと安定した launchd 監督で設定ドリフトも見えやすくなります。Mac mini M4 はアイドル時おおよそ 4W、静音、7×24 向けの信頼性があり、ゲートウェイと軽量ツール負荷にラック不要で収まります。同じ方針を ZoneMac のリモートベアメタル で回すと、SSH と実ファイルパスに沿った Runbook のまま運用できます。

予測可能な Apple Silicon 上で OpenClaw のガードレールを、運用負荷を抑えて載せたいなら、Mac mini M4 は有力な起点です。専用のリモート物理 Mac に本稿の Runbook を載せるには、ZoneMac の案内を確認してください。