创建目录并设置所有权

openclaw openclaw中文博客 2026-04-09 2

以下是一份详细的用户权限配置指南,请根据您的使用场景进行操作。

创建目录并设置所有权-第1张图片-OpenClaw 中文版 - 真正能做事的 AI

核心原则：最小权限原则

只授予用户完成任务所必需的最低权限,避免使用 root 账号直接运行服务。

用户与权限配置指南

运行服务的系统用户（关键）

强烈建议创建一个专用的、非登录的普通用户来运行 OpenClaw 服务。

创建用户 (在 Linux/macOS 上)：
```
sudo useradd -r -s /bin/false openclawuser
```
- -r：创建系统用户。
- -s /bin/false：禁止该用户登录 Shell，增强安全性。
为什么这么做？
- 安全隔离：即使应用存在漏洞，攻击者权限也被限制在该用户内，无法影响系统其他部分。
- 资源控制：方便对进程进行资源监控和管理。

关键目录与文件的权限设置

假设您的 OpenClaw 安装目录为 /opt/openclaw，数据目录为 /var/lib/openclaw。

路径	推荐权限 (以 `openclawuser` 为例)	说明
安装目录 `/opt/openclaw`	`drwxr-xr-x` 所有者：`root` 或 `openclawuser`	程序文件应只读，确保 `openclawuser` 有执行(`x`)权限，通常保持 `root` 所有即可。
数据目录 `/var/lib/openclaw`	`drwxrwx---` 所有者：`openclawuser`，组：`openclawuser`	存放数据库、模型、上传文件、缓存等。必须由服务用户 `openclawuser` 完全拥有(`rwx`)。
日志目录 `/var/log/openclaw`	`drwxrwx---` 所有者：`openclawuser`，组：`openclawuser`	应用和服务日志，需要服务用户写入权限。
配置文件 `/etc/openclaw/config.yaml`	`-rw-r-----` 所有者：`root`，组：`openclawuser`	可能包含密钥、数据库密码等敏感信息。`root` 所有，只允许 `openclawuser` 读取。
环境变量文件 `/etc/default/openclaw`	`-rw-r-----` 所有者：`root`，组：`openclawuser`	同配置文件，敏感，严格控制。

设置命令示例：

sudo chown -R openclawuser:openclawuser /var/lib/openclaw /var/log/openclaw
sudo chmod -R 770 /var/lib/openclaw /var/log/openclaw
# 设置配置文件权限 (如果存在)
sudo chown root:openclawuser /etc/openclaw/config.yaml
sudo chmod 640 /etc/openclaw/config.yaml

使用 Systemd 服务管理（推荐）

如果使用 systemd，在服务单元文件(/etc/systemd/system/openclaw.service)中指定用户和组。

[Unit]
Description=AI OpenClaw Service
[Service]
Type=simple
User=openclawuser
Group=openclawuser
WorkingDirectory=/opt/openclaw
ExecStart=/usr/bin/python3 /opt/openclaw/app/main.py
Restart=on-failure
EnvironmentFile=/etc/default/openclaw
[Install]
WantedBy=multi-user.target

重载并启动：

sudo systemctl daemon-reload
sudo systemctl start openclaw
sudo systemctl enable openclaw

不同角色用户的访问权限

用户角色	所需权限	如何实现
系统管理员	完全控制：安装、升级、配置、重启服务、查看所有日志。	通过 `sudo` 权限执行管理命令，属于 `wheel` 或 `sudo` 组。
应用运维/开发者	查看日志、重启服务、修改配置文件（需审核）。	加入 `openclawuser` 组以读取日志。 2. 有限制的 `sudo`，仅允许 `systemctl restart openclaw` 和编辑特定配置文件。
最终用户 (Web/API)	无系统权限，仅通过应用前端或API交互。	应用内部通过账户系统实现角色和权限管理（RBAC），与系统用户完全隔离。