openclaw policy

openclaw policy disediakan oleh Plugin Policy bawaan. Ini adalah lapisan kesesuaian perusahaan di atas pengaturan OpenClaw yang sudah ada, bukan sistem konfigurasi kedua. Anda menulis persyaratan dalam policy.jsonc; OpenClaw mengamati ruang kerja aktif sebagai bukti; policy melaporkan penyimpangan melalui doctor --lint. Policy tidak memberlakukan pemanggilan alat atau menulis ulang perilaku waktu proses pada saat permintaan, dan tidak mengesahkan penyimpanan kredensial per agen seperti auth-profiles.json.

Policy memeriksa kanal yang dikonfigurasi, server MCP, penyedia model, postur SSRF jaringan, akses masuk/kanal, paparan Gateway dan postur perintah node, akses ruang kerja agen, postur sandbox, postur penanganan data, postur penyedia rahasia/profil autentikasi, serta metadata alat yang diatur (TOOLS.md). Gunakan ini saat ruang kerja memerlukan pernyataan yang bertahan lama dan dapat diperiksa, seperti "Telegram tidak boleh diaktifkan" atau "alat yang diatur harus menyatakan metadata risiko dan pemilik." Jika Anda hanya memerlukan perilaku lokal tanpa pengesahan atau deteksi penyimpangan, konfigurasi biasa sudah cukup.

Mulai cepat

openclaw plugins enable policy

Plugin tetap aktif meskipun policy.jsonc tidak ada, sehingga doctor dapat melaporkan artefak yang hilang alih-alih melewatkan pemeriksaan secara diam-diam.

Tulis policy.jsonc secara manual; berkas ini tidak dihasilkan dari pengaturan saat ini. Setiap bagian tingkat teratas adalah ruang nama aturan: pemeriksaan hanya berjalan jika terdapat aturan konkret di bawahnya (bagian atau kunci yang tidak didukung gagal sebagai policy/policy-jsonc-invalid, bukan diabaikan secara diam-diam). Contoh minimal yang mencakup setiap bagian yang didukung:

{  "channels": {    "denyRules": [      {        "id": "no-telegram",        "when": { "provider": "telegram" },        "reason": "Telegram is not approved for this workspace.",      },    ],  },  "mcp": {    "servers": {      "allow": ["docs"],      "deny": ["untrusted"],    },  },  "models": {    "providers": {      "allow": ["openai", "anthropic"],      "deny": ["openrouter"],    },  },  "network": {    "privateNetwork": {      "allow": false,    },  },  "ingress": {    "session": {      "requireDmScope": "per-channel-peer",    },    "channels": {      "allowDmPolicies": ["pairing", "allowlist", "disabled"],      "denyOpenGroups": true,      "requireMentionInGroups": true,    },  },  "gateway": {    "exposure": {      "allowNonLoopbackBind": false,      "allowTailscaleFunnel": false,    },    "auth": {      "requireAuth": true,      "requireExplicitRateLimit": true,    },    "controlUi": {      "allowInsecure": false,    },    "remote": {      "allow": false,    },    "http": {      "denyEndpoints": ["chatCompletions", "responses"],      "requireUrlAllowlists": true,    },    "nodes": {      "denyCommands": ["system.run"],    },  },  "agents": {    "workspace": {      "allowedAccess": ["none", "ro"],      "denyTools": ["exec", "process", "write", "edit", "apply_patch"],    },  },  "dataHandling": {    "sensitiveLogging": {      "requireRedaction": true,    },    "telemetry": {      "denyContentCapture": true,    },    "retention": {      "requireSessionMaintenance": true,    },    "memory": {      "denySessionTranscriptIndexing": true,    },  },  "secrets": {    "requireManagedProviders": true,    "denySources": ["exec"],    "allowInsecureProviders": false,  },  "auth": {    "profiles": {      "requireMetadata": ["provider", "mode"],      "allowModes": ["api_key", "token"],    },  },  "execApprovals": {    "requireFile": true,    "defaults": { "allowSecurity": ["deny"] },    "agents": {      "allowSecurity": ["deny", "allowlist"],      "allowAutoAllowSkills": false,      "allowlist": { "expected": ["deploy", "status"] },    },  },  "tools": {    "requireMetadata": ["risk", "sensitivity", "owner"],    "profiles": {      "allow": ["messaging", "minimal"],    },    "fs": {      "requireWorkspaceOnly": true,    },    "exec": {      "allowSecurity": ["deny", "allowlist"],      "requireAsk": ["always"],      "allowHosts": ["sandbox"],    },    "elevated": {      "allow": false,    },    "denyTools": ["group:runtime", "group:fs"],  },}

Catatan lintas bagian yang tidak terlihat jelas dari tabel aturan di bawah:

• Menghilangkan gateway.bind saat melarang pengikatan selain loopback berarti Anda menerima nilai baku waktu proses; tetapkan gateway.bind: "loopback" untuk kesesuaian yang ketat.
• Untuk agen hanya-baca, tetapkan mode sandbox ke all atau non-main pada nilai baku/agen yang berlaku dan workspaceAccess ke none atau ro. Mode sandbox yang hilang atau bernilai off tidak memenuhi policy hanya-baca.
• agents.workspace.denyTools menerima exec, process, write, edit, apply_patch. Grup penolakan alat konfigurasi group:fs (mutasi berkas) dan group:runtime (shell/proses) memenuhi postur yang setara.
• Pemeriksaan persetujuan eksekusi membaca artefak exec-approvals.json aktif hanya jika aturan execApprovals tersedia; artefak yang hilang atau tidak valid merupakan bukti yang tidak dapat diamati, bukan kelulusan sintetis.
• Bukti rahasia dan profil autentikasi hanya mencatat postur penyedia/sumber dan metadata SecretRef, tidak pernah nilai mentah. Policy tidak membaca atau mengesahkan penyimpanan kredensial per agen seperti auth-profiles.json.
• Bukti penanganan data hanya merupakan postur tingkat konfigurasi (mode redaksi, pengalih pengambilan telemetri, mode pemeliharaan sesi, pengaturan pengindeksan transkrip). Ini tidak memeriksa log, ekspor telemetri, transkrip, atau berkas memori, dan hasil yang bersih tidak membuktikan bahwa tidak ada data pribadi atau rahasia di dalamnya.

Referensi aturan policy

Setiap aturan di bawah bersifat opsional; pemeriksaan hanya berjalan jika aturan tersebut tersedia. Keadaan yang diamati adalah konfigurasi OpenClaw atau metadata ruang kerja yang sudah ada.

Lapisan cakupan

Gunakan scopes.<scopeName> ketika agen atau kanal tertentu memerlukan policy yang lebih ketat daripada garis dasar tingkat teratas. Nama cakupan hanyalah label; pencocokan menggunakan pemilih di dalam cakupan. Lapisan bersifat aditif: aturan global tetap berjalan, dan aturan bercakupan dapat menambahkan temuannya sendiri terhadap bukti yang sama.

Jika entri agentIds tidak tersedia di agents.list[], OpenClaw mengevaluasi aturan bercakupan terhadap postur global/nilai baku yang diwarisi untuk ID agen waktu proses tersebut, alih-alih melewatinya.

{  "tools": {    "exec": {      "allowHosts": ["sandbox", "node"],    },  },  "sandbox": {    "requireMode": ["all", "non-main"],  },  "scopes": {    "release-workspace": {      "agentIds": ["release-agent", "review-agent"],      "agents": {        "workspace": {          "allowedAccess": ["none", "ro"],        },      },    },    "release-lockdown": {      "agentIds": ["release-agent"],      "tools": {        "exec": {          "allowHosts": ["sandbox"],          "allowSecurity": ["deny", "allowlist"],          "requireAsk": ["always"],        },        "denyTools": ["exec", "process", "write", "edit", "apply_patch"],      },      "sandbox": {        "requireMode": ["all"],        "allowBackends": ["docker"],      },      "dataHandling": {        "memory": {          "denySessionTranscriptIndexing": true,        },      },    },    "shell-sandbox": {      "agentIds": ["shell-agent"],      "sandbox": {        "allowBackends": ["openshell"],        "containers": {          "requireReadOnlyMounts": false,        },      },    },    "telegram-ingress": {      "channelIds": ["telegram"],      "ingress": {        "channels": {          "allowDmPolicies": ["pairing"],          "denyOpenGroups": true,          "requireMentionInGroups": true,        },      },    },  },}

Agen yang sama dapat muncul dalam beberapa cakupan jika setiap cakupan mengatur bidang yang berbeda, seperti di atas. Bidang bercakupan yang berulang untuk agen yang sama harus sama ketat atau lebih ketat; klaim duplikat yang lebih lemah ditolak (daftar izin adalah himpunan bagian, daftar larangan adalah himpunan bagian super, dan boolean wajib bersifat tetap).

Aturan postur kontainer (sandbox.containers.*) hanya diperiksa terhadap bukti yang dapat diekspos oleh backend sandbox agen yang cocok. Jika backend tidak dapat mengamati aturan yang Anda aktifkan untuknya, policy melaporkan policy/sandbox-container-posture-unobservable alih-alih meluluskannya; batasi cakupan aturan kontainer ke grup agen yang menggunakan backend yang dapat mengeksposnya.

ingress.session.requireDmScope tingkat teratas tetap bersifat global; session.dmScope bukan bukti yang dapat diatribusikan ke kanal, sehingga tidak dapat dibatasi cakupannya oleh channelIds.

Setiap cakupan yang tersedia dalam policy.jsonc harus valid dan dapat diberlakukan.

Kanal

Server MCP

Penyedia model

Jaringan

Akses masuk dan kanal

Gateway

gateway.nodes.denyCommands adalah aturan superset penolakan yang tepat dan peka huruf besar-kecil. Gunakan ketika kebijakan harus membuktikan bahwa perintah node berhak istimewa secara eksplisit ditolak oleh konfigurasi OpenClaw. Deployment yang sengaja mengizinkan perintah node berhak istimewa harus memperbarui policy.jsonc setelah peninjauan, alih-alih hanya mengandalkan gateway.nodes.allowCommands.

Ruang kerja agen

Postur sandbox

Kebijakan memperlakukan sandbox.mode yang tidak ada sebagai nilai baku implisitnya, yaitu off, sehingga sandbox.requireMode melaporkan sandbox baru atau yang belum dikonfigurasi sebagai berada di luar daftar izin seperti ["all"].

Penanganan Data

Rahasia

Persetujuan exec

Pemeriksaan persetujuan exec membaca artefak runtime exec-approvals.json: ~/.openclaw/exec-approvals.json secara baku, atau $OPENCLAW_STATE_DIR/exec-approvals.json ketika OPENCLAW_STATE_DIR ditetapkan. Aturan postur di bawah execApprovals.defaults.* atau execApprovals.agents.* memerlukan bukti artefak yang dapat dibaca; artefak yang tidak ada atau tidak valid dilaporkan sebagai bukti yang tidak dapat diamati, bukan kelulusan berdasarkan upaya terbaik. Setelah dapat dibaca, bidang yang dihilangkan mewarisi nilai baku runtime: defaults.security yang tidak ada bernilai full, dan keamanan agen yang tidak ada mewarisi nilai baku tersebut. Bukti mencakup defaults, agents.*, agents.*.allowlist[].pattern, argPattern opsional, postur efektif autoAllowSkills, dan sumber entri — tidak pernah mencakup jalur/token soket, commandText, lastUsedCommand, jalur yang telah diresolusi, atau stempel waktu.

Contoh: wajibkan artefak persetujuan, tolak nilai baku yang permisif, dan izinkan hanya postur persetujuan exec yang telah ditinjau untuk agen yang dipilih.

{  "execApprovals": {    "requireFile": true,    "defaults": {      // Security modes: "deny", "allowlist", or "full".      // This default permits only the locked-down deny posture.      "allowSecurity": ["deny"],    },  },  "scopes": {    "restricted-shell": {      "agentIds": ["family-agent", "groups-agent"],      "execApprovals": {        "agents": {          // Selected agents may use reviewed allowlist posture, but not "full".          "allowSecurity": ["allowlist"],          // false means skill CLIs must appear in the reviewed allowlist instead of          // being implicitly approved by autoAllowSkills.          "allowAutoAllowSkills": false,          "allowlist": {            "expected": [              // Simple entry: exact reviewed executable pattern with no argPattern.              "travel-hub",              // Constrained entry: pattern plus reviewed argument regex.              { "pattern": "calendar-cli", "argPattern": "^sync\\b" },              "/bin/date",            ],          },        },      },    },  },}

Profil autentikasi

Metadata alat

Postur alat

Menjalankan pemeriksaan

Jalankan pemeriksaan khusus kebijakan selama penyusunan:

openclaw policy checkopenclaw policy check --jsonopenclaw policy check --severity-min error

policy check hanya menjalankan kumpulan pemeriksaan kebijakan serta menghasilkan bukti, temuan, dan hash pengesahan. Temuan yang sama juga muncul dalam openclaw doctor --lint saat Plugin Policy diaktifkan.

Bandingkan berkas kebijakan operator dengan tolok ukur yang telah disusun:

openclaw policy compare --baseline official.policy.jsoncopenclaw policy compare --baseline official.policy.jsonc --policy policy.jsonc --json

policy compare memeriksa sintaks berkas kebijakan terhadap sintaks berkas kebijakan; perintah ini tidak memeriksa status runtime, bukti, kredensial, atau rahasia. Perintah ini menggunakan metadata aturan yang sama dengan yang mengatur lapisan cakupan: daftar izin harus tetap sama atau lebih sempit, daftar penolakan harus tetap sama atau lebih luas, nilai boolean wajib harus mempertahankan nilainya, string berurutan hanya boleh bergerak menuju ujung yang lebih ketat dari urutan yang dikonfigurasi, dan daftar eksak harus cocok. Tolok ukur dapat berupa kebijakan yang disusun organisasi; kebijakan yang diperiksa dapat menambahkan nilai yang lebih ketat atau aturan tambahan. Aturan tingkat atas yang diperiksa dapat memenuhi aturan tolok ukur bercakupan jika sama ketat atau lebih ketat. Nama cakupan tidak harus sama antarberkas; perbandingan dikunci berdasarkan pemilih (agentIds/channelIds) dan bidang.

Hasil perbandingan bersih (--json):

{  "ok": true,  "baselinePath": "official.policy.jsonc",  "policyPath": "policy.jsonc",  "rulesChecked": 3,  "findings": []}

Keluaran bersih policy check --json menyertakan hash stabil yang dapat dicatat oleh operator atau pengawas:

{  "ok": true,  "attestation": {    "policy": {      "path": "policy.jsonc",      "hash": "sha256:..."    },    "workspace": {      "scope": "policy",      "hash": "sha256:..."    },    "findingsHash": "sha256:...",    "attestationHash": "sha256:..."  },  "checksRun": 5,  "checksSkipped": 0,  "findings": []}

Mengonfigurasi kebijakan

Konfigurasi kebijakan berada di bawah plugins.entries.policy.config.

{  "plugins": {    "entries": {      "policy": {        "enabled": true,        "config": {          "enabled": true,          "path": "policy.jsonc",          "workspaceRepairs": false,          "expectedHash": "sha256:...",          "expectedAttestationHash": "sha256:...",        },      },    },  },}

Atur plugins.entries.policy.config.enabled ke false untuk menonaktifkan pemeriksaan kebijakan bagi suatu ruang kerja tanpa menghapus Plugin.

Menerima status kebijakan

Contoh keluaran JSON:

{  "ok": true,  "attestation": {    "checkedAt": "2026-05-10T20:00:00.000Z",    "policy": {      "path": "policy.jsonc",      "hash": "sha256:..."    },    "workspace": {      "scope": "policy",      "hash": "sha256:..."    },    "findingsHash": "sha256:...",    "attestationHash": "sha256:..."  },  "evidence": {    "channels": [      {        "id": "telegram",        "provider": "telegram",        "source": "oc://openclaw.config/channels/telegram",        "enabled": false      }    ],    "mcpServers": [      {        "id": "docs",        "transport": "stdio",        "source": "oc://openclaw.config/mcp/servers/docs",        "command": "npx"      }    ],    "modelProviders": [      {        "id": "openai",        "source": "oc://openclaw.config/models/providers/openai"      }    ],    "modelRefs": [      {        "ref": "openai/gpt-5.6-sol",        "provider": "openai",        "model": "gpt-5.6-sol",        "source": "oc://openclaw.config/agents/defaults/model"      }    ],    "network": [      {        "id": "browser-private-network",        "source": "oc://openclaw.config/browser/ssrfPolicy/dangerouslyAllowPrivateNetwork",        "value": false      }    ],    "gatewayExposure": [      {        "id": "gateway-bind",        "kind": "bind",        "source": "oc://openclaw.config/gateway/bind",        "value": "loopback",        "nonLoopback": false,        "explicit": true      }    ],    "agentWorkspace": [      {        "id": "agents-defaults-workspace-access",        "kind": "workspaceAccess",        "source": "oc://openclaw.config/agents/defaults/sandbox/workspaceAccess",        "scope": "defaults",        "value": "ro",        "sandboxMode": "all",        "sandboxModeSource": "oc://openclaw.config/agents/defaults/sandbox/mode",        "sandboxEnabled": true,        "explicit": true      },      {        "id": "agents-defaults-tool-exec",        "kind": "toolDeny",        "source": "oc://openclaw.config/tools/deny",        "scope": "defaults",        "tool": "exec",        "denied": true,        "explicit": true      }    ],    "secrets": [      {        "id": "vault",        "kind": "provider",        "source": "oc://openclaw.config/secrets/providers/vault",        "providerSource": "env"      },      {        "id": "oc://openclaw.config/models/providers/openai/apiKey",        "kind": "input",        "source": "oc://openclaw.config/models/providers/openai/apiKey",        "provenance": "secretRef",        "refSource": "env",        "refProvider": "vault"      }    ],    "authProfiles": [      {        "id": "github",        "source": "oc://openclaw.config/auth/profiles/github",        "validMetadata": true,        "provider": "github",        "mode": "token"      }    ],    "tools": [      {        "id": "deploy",        "source": "oc://TOOLS.md/tools/deploy",        "line": 12,        "risk": "critical",        "sensitivity": "restricted",        "capabilities": ["IRREVERSIBLE_EXTERNAL"]      }    ]  },  "checksRun": 30,  "checksSkipped": 0,  "findings": []}

attestation.policy.hash mengidentifikasi artefak aturan yang disusun. evidence mencatat status OpenClaw yang diamati dan digunakan oleh pemeriksaan, sedangkan workspace.hash mengidentifikasi muatan bukti tersebut. findingsHash mengidentifikasi kumpulan temuan yang tepat. checkedAt mencatat waktu pemeriksaan dijalankan. attestationHash mengidentifikasi klaim stabil (hash kebijakan, hash bukti, hash temuan, dan status bersih/kotor) serta secara sengaja mengecualikan checkedAt, sehingga status kebijakan yang sama selalu menghasilkan hash pengesahan yang sama. Bersama-sama, keempat nilai ini membentuk tupel audit untuk satu pemeriksaan kebijakan.

Jika Gateway atau pengawas menggunakan kebijakan untuk memblokir, menyetujui, atau memberi anotasi pada tindakan runtime, komponen tersebut harus mencatat hash pengesahan dari pemeriksaan bersih terakhir. checkedAt tetap berada dalam keluaran JSON untuk log audit, tetapi bukan bagian dari hash stabil.

Siklus hidup penerimaan status kebijakan:

1. Susun atau tinjau policy.jsonc.
2. Jalankan openclaw policy check --json.
3. Jika bersih, catat attestation.policy.hash sebagai expectedHash.
4. Catat attestation.attestationHash sebagai expectedAttestationHash.
5. Jalankan kembali openclaw doctor --lint dalam CI atau gerbang rilis.

Jika aturan kebijakan diubah secara sengaja, perbarui kedua hash yang diterima dari pemeriksaan bersih. Jika hanya pengaturan ruang kerja yang berubah (kebijakan tetap sama), biasanya hanya expectedAttestationHash yang berubah.

Mengaktifkan atau meningkatkan aturan agents.workspace menambahkan bukti agentWorkspace ke hash ruang kerja dan hash atestasi; tinjau bukti baru dan perbarui hash atestasi yang diterima setelah mengaktifkannya. Mengaktifkan atau meningkatkan aturan postur alat menambahkan bukti toolPosture dengan cara yang sama.

openclaw policy watch menjalankan ulang pemeriksaan dan melaporkan ketika bukti saat ini tidak lagi cocok dengan expectedAttestationHash:

openclaw policy watch --json

Gunakan --once dalam CI atau skrip yang memerlukan satu evaluasi penyimpangan. Tanpa --once, perintah ini melakukan polling setiap dua detik secara default; gunakan --interval-ms untuk mengubah interval.

Temuan

Sebuah temuan dapat menyertakan target (hal di ruang kerja yang diamati dan tidak sesuai) serta requirement (aturan yang ditulis yang menyebabkannya menjadi temuan). Saat ini keduanya merupakan string alamat oc://, tetapi nama bidang menggambarkan peran kebijakan, bukan format alamat.

Contoh temuan:

{  "checkId": "policy/channels-denied-provider",  "severity": "error",  "message": "Channel 'telegram' uses denied provider 'telegram'.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/channels/telegram",  "target": "oc://openclaw.config/channels/telegram",  "requirement": "oc://policy.jsonc/channels/denyRules/#0",  "fixHint": "Telegram is not approved for this workspace."}

{  "checkId": "policy/tools-missing-risk-level",  "severity": "error",  "message": "TOOLS.md tool 'deploy' has no explicit risk classification.",  "source": "policy",  "path": "TOOLS.md",  "line": 12,  "ocPath": "oc://TOOLS.md/tools/deploy",  "target": "oc://TOOLS.md/tools/deploy",  "requirement": "oc://policy.jsonc/tools/requireMetadata"}

{  "checkId": "policy/mcp-unapproved-server",  "severity": "error",  "message": "Server MCP 'remote' tidak tercantum dalam daftar izin kebijakan.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/mcp/servers/remote",  "target": "oc://openclaw.config/mcp/servers/remote",  "requirement": "oc://policy.jsonc/mcp/servers/allow"}

{  "checkId": "policy/models-unapproved-provider",  "severity": "error",  "message": "Referensi model 'anthropic/claude-sonnet-4.7' menggunakan penyedia 'anthropic' yang tidak disetujui.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/agents/defaults/model/fallbacks/#0",  "target": "oc://openclaw.config/agents/defaults/model/fallbacks/#0",  "requirement": "oc://policy.jsonc/models/providers/allow"}

{  "checkId": "policy/network-private-access-enabled",  "severity": "error",  "message": "Pengaturan jaringan 'browser-private-network' mengizinkan akses ke jaringan privat.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/browser/ssrfPolicy/dangerouslyAllowPrivateNetwork",  "target": "oc://openclaw.config/browser/ssrfPolicy/dangerouslyAllowPrivateNetwork",  "requirement": "oc://policy.jsonc/network/privateNetwork/allow"}

{  "checkId": "policy/gateway-non-loopback-bind",  "severity": "error",  "message": "Pengaturan pengikatan Gateway 'gateway-bind' mengizinkan paparan non-loopback.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/gateway/bind",  "target": "oc://openclaw.config/gateway/bind",  "requirement": "oc://policy.jsonc/gateway/exposure/allowNonLoopbackBind"}

{  "checkId": "policy/gateway-node-command-denied",  "severity": "error",  "message": "Perintah node Gateway 'system.run' ditolak oleh kebijakan, tetapi tidak ditolak oleh konfigurasi OpenClaw.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/gateway/nodes/denyCommands",  "target": "oc://openclaw.config/gateway/nodes/denyCommands",  "requirement": "oc://policy.jsonc/gateway/nodes/denyCommands",  "fixHint": "Tambahkan 'system.run' ke gateway.nodes.denyCommands atau perbarui kebijakan setelah ditinjau."}

{  "checkId": "policy/agents-workspace-access-denied",  "severity": "error",  "message": "Akses ruang kerja sandbox agents.defaults 'rw' tidak diizinkan oleh kebijakan.",  "source": "policy",  "path": "openclaw config",  "ocPath": "oc://openclaw.config/agents/defaults/sandbox/workspaceAccess",  "target": "oc://openclaw.config/agents/defaults/sandbox/workspaceAccess",  "requirement": "oc://policy.jsonc/agents/workspace/allowedAccess"}

Perbaikan

doctor --lint dan policy check bersifat hanya-baca.

doctor --fix hanya mengedit pengaturan ruang kerja yang dikelola kebijakan jika workspaceRepairs diaktifkan secara eksplisit; jika tidak, pemeriksaan melaporkan hal yang akan diperbaiki dan membiarkan pengaturan tetap tidak berubah.

Dalam versi ini, perbaikan dapat menonaktifkan kanal yang ditolak oleh channels.denyRules dan menerapkan perbaikan pembatasan otomatis yang tercantum di bawah ini. Aktifkan workspaceRepairs hanya setelah berkas kebijakan ditinjau, karena aturan yang valid dapat mengubah konfigurasi ruang kerja:

• atur tools.elevated.enabled=false ketika kebijakan global melarang alat dengan hak akses tinggi
• tambahkan id alat wajib-tolak yang belum ada ke tools.deny atau agents.list[].tools.deny ketika kebijakan mengharuskan alat tersebut ditolak
• atur sakelar gateway.controlUi.* yang tidak aman menjadi false
• atur gateway.mode=local ketika kebijakan menolak mode Gateway jarak jauh
• atur jalur gateway.http.endpoints.*.enabled yang dilaporkan menjadi false ketika kebijakan menolak titik akhir API HTTP Gateway
• atur jalur groupPolicy masuk kanal yang dilaporkan menjadi allowlist ketika kebijakan menolak masuknya grup terbuka
• atur jalur requireMention masuk kanal yang dilaporkan menjadi true ketika kebijakan mewajibkan penyebutan dalam grup
• atur logging.redactSensitive=tools ketika kebijakan mewajibkan penyamaran pencatatan sensitif
• atur diagnostics.otel.captureContent=false, atau diagnostics.otel.captureContent.enabled=false untuk pengaturan pengambilan telemetri berbentuk objek, ketika kebijakan menolak pengambilan konten telemetri

Perbaikan alat dengan hak akses tinggi yang tercakup hanya dideteksi. Perbaikan penanganan data yang tercakup juga dilewati ketika temuan melaporkan konfigurasi pencatatan atau telemetri bersama, karena mengubah pengaturan bersama akan memengaruhi lebih dari target kebijakan yang tercakup.

Perbaikan wajib-tolak yang tercakup dilewati ketika temuan melaporkan tools.deny akar yang diwarisi, karena menambahkan alat wajib tersebut ke konfigurasi akar akan memengaruhi lebih dari target kebijakan yang tercakup. Perbaikan wajib-tolak lokal agen dapat memperbarui jalur agents.list[].tools.deny yang dilaporkan.

Perbaikan masuk kanal yang tercakup dilewati ketika temuan melaporkan channels.defaults.* yang diwarisi, karena mengubah nilai default kanal bersama akan memengaruhi lebih dari target kebijakan yang tercakup. Temuan daftar izin pengambilan URL HTTP Gateway tetap harus ditangani secara manual karena perbaikan otomatis tidak dapat memilih nilai daftar izin URL titik akhir yang benar.

Temuan pengikatan dan perintah node Gateway tetap memerlukan peninjauan. Ketika policy/gateway-non-loopback-bind atau policy/gateway-node-command-denied dapat dipetakan ke jalur konfigurasi, doctor --fix melaporkan perubahan gateway.bind atau gateway.nodes.denyCommands yang diusulkan sebagai panduan pratinjau yang dilewati. Perintah tersebut tidak menerapkan perubahan, dan temuan tidak dianggap telah diperbaiki hingga operator meninjau dan memperbarui konfigurasi atau kebijakan.

{  "plugins": {    "entries": {      "policy": {        "config": {          "workspaceRepairs": true,        },      },    },  },}

Kode keluar

Terkait

• Mode lint Doctor
• CLI jalur