2026: OpenClaw + Feishu / Lark и Microsoft Teams — воспроизводимая аутентификация, длительные соединения и корпоративный egress на удалённом физическом Mac‑шлюзе ZoneMac (фрагмент openclaw.json + FAQ 401/429)

1. Типовые боли, с которыми сталкиваются в enterprise

1. Раздельные арендаторы: Feishu (внутренний контур), международный Lark и Entra ID для Teams редко делят один каталог приложений. Учётные данные из песочницы дают непрозрачные 401 в production, пока не выровняны authority URL и verification secrets.
2. Allowlist и дрейф SNAT: вендоры привязывают исходящий IP для вебхуков или политик. Пулы удалённых Mac с ротацией egress без обновления заявок в ИТ вызывают внезапные сбои верификации и дубли повторов событий.
3. Долгие сессии против idle на прокси: SDK ботов держат WebSocket или «длинный» HTTP; корпоративные forward‑прокси часто рвут тихие потоки примерно за 5–15 минут без настроенных keepalive и PAC‑маршрутизации.
4. Аудит и least privilege: у каждой платформы свои области — семейство Graph ChannelMessage.Read.All, Lark im:message, подписки Feishu. Переширенные токены не проходят ИБ; недостаточные — дают шум 403/404 в рантайме.

2. Матрица: один удалённый Mac‑шлюз или боты по регионам

Таблица для архитектурного ревью: когда оправдан стационарный Mac‑шлюз, а когда разносить ботов.

3. Семишаговый воспроизводимый runbook (удалённый физический Mac ZoneMac)

1. Зафиксировать инвентарь конечных точек: перечислить *.feishu.cn, open.feishu.cn, хосты open‑platform Lark для вашего шарда, login.microsoftonline.com, graph.microsoft.com (или Gov/GCCH) и URL коннекторов Teams. Один change‑тикет с тестовыми командами.
2. Закрепить Mac на проводе и питании: отключить сон для пользователя шлюза, принудить NTP, записать egress IP после NAT, который увидит вендор.
3. Привязать OpenClaw к loopback: TLS на nginx/Envoy или Zero Trust‑туннель; форвардинг на 127.0.0.1:18789 (или ваш порт), чтобы сканеры не били в raw listener.
4. Секреты без GUI: SecretRef, EnvironmentVariables в launchd или скрипты с Keychain — не коммитить tenant secrets рядом с openclaw.json.
5. Пройти vendor challenge из production‑пути: зарегистрировать URL событий Feishu/Lark и messaging endpoint Teams с теми же DNS, сертификатом и цепочкой прокси, что у пользователей.
6. Smoke auth и throttling: скрипт Graph /me или чтение канала тем же классом токена, что использует OpenClaw; тестовое событие Lark/Feishu и проверка заголовков подписи.
7. Наблюдение и game day: счётчики 401/403/429 и причин реконнекта; после базовой линии — Prometheus и Grafana на шлюзе OpenClaw, затем обрыв локального прокси и проверка восстановления в окне SLO.

4. Фрагменты openclaw.json (иллюстративно)

Замените плейсхолдеры по документации вендора; структура показывает, как держать каналы рядом на одном хосте шлюза.

{
  "gateway": {
    "bind": "127.0.0.1:18789",
    "publicBaseUrl": "https://openclaw-gateway.corp.example",
    "logFormat": "jsonl"
  },
  "channels": {
    "feishu": {
      "appId": "${FEISHU_APP_ID}",
      "appSecret": "${FEISHU_APP_SECRET}",
      "encryptKey": "${FEISHU_ENCRYPT_KEY}",
      "verificationToken": "${FEISHU_VERIFICATION_TOKEN}"
    },
    "lark": {
      "appId": "${LARK_APP_ID}",
      "appSecret": "${LARK_APP_SECRET}",
      "encryptKey": "${LARK_ENCRYPT_KEY}"
    },
    "teams": {
      "tenantId": "${ENTRA_TENANT_ID}",
      "clientId": "${TEAMS_BOT_APP_ID}",
      "clientSecret": "${TEAMS_BOT_SECRET}",
      "graphAudience": "https://graph.microsoft.com/"
    }
  },
  "httpClient": {
    "proxyUrl": "${CORP_HTTPS_PROXY}",
    "respectRetryAfter": true,
    "maxConcurrentGraphRequests": 4
  }
}

Если ИБ запрещает глобальный HTTP_PROXY, разнесите прокси по каналам там, где это поддерживает OpenClaw, или направьте трафик через явный forward‑proxy ВМ в том же регионе, что и Mac.

4.1 nginx: TLS спереди, форвардинг на localhost

server {
  listen 443 ssl;
  server_name openclaw-gateway.corp.example;
  ssl_certificate     /etc/ssl/internal/fullchain.pem;
  ssl_certificate_key /etc/ssl/internal/privkey.pem;

  location /feishu/events {
    proxy_pass http://127.0.0.1:18789/feishu/events;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_read_timeout 120s;
  }
  location /teams/api/messages {
    proxy_pass http://127.0.0.1:18789/teams/api/messages;
    proxy_set_header Host $host;
    proxy_read_timeout 120s;
  }
}

5. Цифры и параметры для дизайн‑заметок

• Сдвиг часов JWT: закладывайте для токенов Entra терпимость порядка ±300 с между Mac и эталонным временем; при большем сдвиге Graph возвращает 401 даже при «верном» секрете.
• Обработка 429: уважайте Retry-After для Graph; экспоненциальный backoff с полным джиттером часто стартует с базы 1–2 с при fan-out нагрузках.
• Окно простоя прокси: многие forward‑прокси рвут тихие TLS между 300 и 900 с; прикладные keepalive должны срабатывать заметно чаще минимального наблюдаемого idle в PCAP.

6. FAQ: triage HTTP 401 и 429

6.1 Microsoft Graph 401

Проверьте tenant ID в URL запроса токена, национальное облако, повторное согласие администратора после смены scope и исключения условного доступа для service principal. Сравните claims iat/exp с sntp -sS time.apple.com на Mac.

6.2 Graph или open platform 429

Снизьте параллельные задачи синхронизации каналов, кэшируйте идентификаторы каталога, избегайте плотного polling там, где есть вебхуки, разнесите read‑heavy cron по минутам. Если несколько продуктов делят одну app registration, изолируйте трафик Teams, чтобы маркетинговые эксперименты не голодали CI‑уведомления.

6.3 Сбои верификации Feishu / Lark

Ротируйте encrypt key и verification token согласованно, проверяйте challenge на сырых байтах тела до JSON‑парсинга и совпадение callback URL в консоли разработчика с SAN сертификата — включая дисциплину завершающего слэша.