自愈式家庭服务器与基础设施管理

痛点

Homelab 运维者和自托管爱好者面临持续的维护负担：

• 健康检查、日志监控和告警需要手动配置和关注。
• 服务出问题时，你必须 SSH 进去诊断和修复 — 往往在凌晨 3 点从手机上操作。
• 基础设施即代码（Terraform、Ansible、Kubernetes manifest）需要定期更新。
• 关于你环境的知识都在你脑子里，而不是在可搜索的文档中。
• 日常任务（邮件分拣、部署检查、安全审计）每周消耗数小时。

你可以做什么

• 自动化健康监控：基于 Cron 的服务、部署和系统资源检查。
• 自愈能力：通过健康检查检测问题并自动修复（重启 Pod、扩容资源、修复配置）。
• 基础设施管理：编写和应用 Terraform、Ansible 和 Kubernetes manifest。
• 晨报系统：每日系统健康、日历、天气和任务板状态汇总。
• 邮件分拣：扫描收件箱，标记待办项，归档噪音。
• 知识抽取：将笔记和对话导出处理为结构化、可搜索的知识库。
• 博客发布流水线：草稿 → 生成封面 → 发布到 CMS → 部署到托管 — 全自动。
• 安全审计：定期扫描硬编码密钥、特权容器和过于宽松的访问权限。

所需技能

• ssh 访问家庭网络机器
• kubectl 管理 Kubernetes 集群
• terraform 和 ansible 做基础设施即代码
• 1password CLI 管理密钥
• gog CLI 访问邮件
• 日历 API 访问
• Obsidian 知识库或笔记目录
• openclaw doctor 做自我诊断

如何配置

1. 核心代理配置

在 AGENTS.md 中命名你的代理并定义访问范围。以下示例基于一个真实的生产代理 "Reef"：

## 基础设施代理

你是 Reef，一个基础设施管理代理。

访问权限：
- SSH 到家庭网络所有机器 (192.168.1.0/24)
- kubectl 管理 K3s 集群
- 1Password 保险库（只读，AI 专用保险库）
- 通过 gog CLI 访问 Gmail
- 日历（你和伴侣的）
- Obsidian 知识库 ~/Documents/Obsidian/

规则：
- 绝不硬编码密钥 — 始终使用 1Password CLI 或环境变量
- 绝不直接推送到 main — 始终创建 PR
- 将 `openclaw doctor` 作为自检项目
- 将所有基础设施变更记录到 ~/logs/infra-changes.md

2. 自动化 Cron 任务系统

这套方案的核心在于定时任务系统。在 HEARTBEAT.md 中配置：

## Cron 调度

每 15 分钟：
- 检查看板上进行中的任务 → 继续执行

每小时：
- 监控健康检查（Gatus、ArgoCD、服务端点）
- 分拣 Gmail（标记待办项、归档噪音）
- 检查未响应的告警或通知

每 6 小时：
- 知识库数据录入（处理新的 Obsidian 笔记）
- 自检（openclaw doctor、磁盘用量、内存、日志）

每 12 小时：
- 代码质量和文档审计
- 通过 Loki/监控栈进行日志分析

每天：
- 凌晨 4:00：夜间头脑风暴（探索笔记间的关联）
- 早上 8:00：晨报（天气、日历、系统状态、任务板）
- 凌晨 1:00：效率评估（流程改进）

每周：
- 知识库质量审查
- 基础设施安全审计

3. 安全设置（关键）

在给代理 SSH 权限之前，以下设置不可跳过：

Pre-push 钩子：

• 在所有代码仓库安装 TruffleHog 或类似的密钥扫描工具。
• 阻止任何包含硬编码 API 密钥、Token 或密码的提交。

本地优先的 Git 工作流：

• 使用 Gitea（自托管）在推送到公共 GitHub 之前暂存私有代码。
• CI 扫描流水线（Woodpecker 或类似工具）在任何公开推送前运行。
• 合入主分支必须经过人工审查。

纵深防御：

• 为 AI 代理设置专用 1Password 保险库（权限受限）。
• 对敏感服务进行网络隔离。
• 每日自动安全审计：检查特权容器、代码或配置中的硬编码密钥、过于宽松的文件/网络权限、已部署镜像中的已知漏洞。

代理约束：

• 分支保护：main 分支必须通过 PR，代理不能越权。
• 不需要写权限的地方只给只读权限。
• 所有变更通过 git 记录和审计。

4. 晨报模板

## 每日简报格式

每天早上 8:00 生成并发送：

### 天气
- 当前天气和预报

### 日历
- 你今天的日程
- 伴侣今天的日程
- 标记冲突或重叠

### 系统健康
- 所有机器的 CPU / RAM / 存储
- 服务状态：UP/DOWN
- 最近的部署（ArgoCD）
- 过去 24 小时的告警

### 任务板
- 昨天完成的卡片
- 进行中的卡片
- 需要关注的阻塞项

### 亮点
- 夜间头脑风暴的重要发现
- 需要处理的邮件
- 本周即将到期的截止日

关键经验

• "我居然有了一个自愈服务器"：代理可以运行 SSH、Terraform、Ansible 和 kubectl 命令，在你察觉问题之前就修复基础设施故障。
• AI 会硬编码密钥：这是头号安全风险。如果你不设置防护栏，代理会毫不犹豫地把 API 密钥直接写在代码里。Pre-push 钩子和密钥扫描是必需的。
• 本地优先的 Git 至关重要：绝不让代理直接推送到公共仓库。使用私有 Gitea 实例作为暂存区，配合 CI 扫描。
• Cron 任务才是真正的产品：定时自动化（健康检查、邮件分拣、晨报）比临时命令提供更多日常价值。
• 知识抽取会复利增长：将笔记、对话导出和邮件处理为结构化知识库，价值随时间递增 — 有用户从 ChatGPT 历史记录中提取了 49,079 条原子事实。

灵感来源

本用例基于 Nathan 的详细文章 "Everything I've Done with OpenClaw (So Far)"，他描述了自己的 OpenClaw 代理 "Reef" 运行在家庭服务器上，具备 SSH 访问所有机器、Kubernetes 集群、1Password 集成以及 5,000+ 笔记的 Obsidian 知识库。Reef 运行着 15 个活跃 Cron 任务、24 个自定义脚本，并已自主构建和部署了包括任务管理 UI 在内的应用。

在 OpenClaw Showcase 上，@georgedagg_ 描述了类似模式：部署监控、日志审查、配置修复和 PR 提交 — 全程遛狗。

相关链接

• Nathan 的完整文章
• OpenClaw 文档
• TruffleHog（密钥扫描）
• K3s（轻量级 Kubernetes）
• Gitea（自托管 Git）
• n8n（工作流自动化）

通过 ShipClaw 部署

跳过繁琐配置 — 获取全托管 OpenClaw 实例，即可运行此用例。

为什么托管比自托管更适合这个用例

在自愈服务器_上_运行自愈服务器代理的讽刺是：如果服务器宕机，代理也跟着宕机。ShipClaw 在 Fly.io 基础设施上运行你的代理，因此它可以从外部检测和告警家庭服务器故障。

快速开始

1. 选择方案 — 此用例推荐 Pro
2. 进入实例面板，点击部署新实例
3. 部署完成后，使用上方的示例提示词配置你的智能体
4. 配置到家庭网络的 SSH 访问并激活定时计划