NemoClawのsafe installerとポリシーboilerplateを用意した

NemoClawの公式インストーラーをそのまま使うにはいくつか懸念があったため、改修したインストーラーとポリシー・推論プロファイルの boilerplate を構成リポジトリとしてまとめた。セットアップ中に踏んだ罠もあわせて備忘。

NemoClaw / OpenShell ともに2026年3月時点でAlpha段階のため今後仕様が変わる可能性あり。

NemoClaw / OpenShell / OpenClaw の関係

NemoClawはOpenClawをOpenShellの中に閉じ込め、すべての外部通信をポリシーで制御する。

推論リクエストは Agent → OpenShell Gateway → NVIDIA NIM API（integrate.api.nvidia.com）の経路。

構成

nemoclaw-install-safe.sh          # インストーラー (後述)
Makefile                          # ライフサイクル管理
blueprint.yaml                    # 推論プロファイル + サンドボックスイメージ
sandboxes.json                    # サンドボックス登録状態 (参照専用)
policies/
  openclaw-sandbox.yaml           # ベースポリシー
  presets/                        # 外部サービス別プリセット (9種)
    discord.yaml / telegram.yaml / slack.yaml
    npm.yaml / pypi.yaml / docker.yaml
    huggingface.yaml / jira.yaml / outlook.yaml
scripts/
  apply.sh                        # ポリシー適用ヘルパー

NemoClawのソースツリー（~/.nemoclaw/source）とは分離しておき、make sync で設定をソースツリーにコピーする設計に変更。これにより構成をGit管理しつつ、本体の更新とは独立して設定を変更させる。

Installer

公式インストーラー（curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash）は手軽だが色々気になったため nemoclaw-install-safe.sh として改修。

defaultではすべてのファイルを ~/.nemoclaw 配下に押し込む、場所は NEMOCLAW_HOME で変更可。システムディレクトリ（/usr 等）が指定された場合は拒否。

installの流れ

graph LR
  A[1. Node.js バージョン確認<br>v20以上必須] --> B[2. NemoClaw clone<br>GitHub → ~/.nemoclaw/source]
  B --> C[3. npm install --ignore-scripts<br>+ OpenClaw tarball検証]
  C --> D[4. CLI を ~/.nemoclaw/prefix に配置]
  D --> E[5. nemoclaw onboard<br>対話的セットアップ]

ライフサイクル管理

NemoClawの起動・停止・ポリシー適用を慣れた make で一元化。

make start は Gatewayコンテナの状態（running / exited / missing）を docker inspect で判定し、exited なら docker start → ready待ち → sync → nemoclaw start、running なら sync → nemoclaw start、missing ならエラー、の流れ。

あと今回はnvidia提供のサンドボックスイメージ ghcr.io/nvidia/openshell-community/sandboxes/openclaw:latest をそのまま使う。ここは特にかえる理由がないので。

ポリシー

ベースポリシー（openclaw-sandbox.yaml）

deny by default で、明示的に許可したエンドポイントのみ到達可能。3つのセクションで構成される。

filesystemポリシー:

filesystem_policy:
  read_only:
    - /usr
    - /sandbox/.openclaw      # gateway設定の改ざん防止 (creation-locked)
  read_write:
    - /sandbox
    - /sandbox/.openclaw-data # エージェントが書き込む状態ファイル

read_only はサンドボックス作成時に固定される（creation-locked）。ライブサンドボックスでは追加のみ可能で削除はできない。

networkポリシー:

binaries フィールドが重要で、省略するとすべてのprocessがアクセス可能になるが、指定するとリストされたバイナリパスからのリクエストのみ許可される。OpenClawのWeb Fetchは内部で /usr/bin/curl を子processとして呼び出すため、エージェントからアクセスさせるには curl と node を binaries に含める必要がある。

プリセット

外部サービスごとのnetworkポリシーを policies/presets/ に分離してある。nemoclaw onboard 時に選択し有効化。

プリセットの構造:

preset:
  name: telegram
  description: "Telegram Bot API access"

network_policies:
  telegram_bot:
    name: telegram_bot
    endpoints:
      - host: api.telegram.org
        port: 443
        protocol: rest
        enforcement: enforce
        tls: terminate
        rules:
          - allow: { method: GET, path: "/bot*/**" }
          - allow: { method: POST, path: "/bot*/**" }

推論プロファイル（blueprint.yaml）

とりあえず nvidia に乗っかればOK。

default はNVIDIA API Keyでクラウドを使用、nim-local / vllm はローカル推論用。

モデルIDが割り振られるのだが命名規則があり {auth_provider}/{namespace}/{model} のような感じ。onboard で inference を選ぶとフルIDは inference/nvidia/nemotron-3-super-120b-a12bとなる。モデルの動的変更はこのIDを使って openshell inference update --model ...。

セットアップ

make install 後 openclaw onboard が走る。設定はnemoclawなら一本道

細かい仕様

networkアクセスの調整

policies/openclaw-sandbox.yaml でバイナリごとにpath指定する。

github:
  binaries:
    - { path: /usr/bin/gh }
    - { path: /usr/bin/git }
    - { path: /usr/local/bin/openclaw }  # 追加
    - { path: /usr/bin/curl }            # 追加
    - { path: /usr/local/bin/node }      # 追加

ログを見てブロック原因を特定するなら

openshell logs <name> --source sandbox --level debug --since 5m

ログの action=deny エントリに拒否理由とバイナリパスが記録されてる。binaries はリクエストを実際に発行するprocessのパスを指定する必要がある。

readonly制約

/sandbox/.openclaw が read_only（creation-locked）なので以下は通常はブロック

• openclaw config set（一時ファイルを書けない）
• MEMORY.md へのエージェント書き込み
• ワークスペースファイルの更新

エラーは filesystem read_only path cannot be removed on a live sandbox などと出る。/sandbox/.openclaw を read_write に移す以外にライブで可能にする方法はない。

NemoClawの設計思想はエージェントが自身の設定や権限を変更できないようにする方向性らしい。MEMORY.mdくらいはできていいと思うのだが。。

スキルは手で入れる

openclaw skills list の結果は 3/51 ready で weatherとかしかない。

skillに要るCLIのinstall方法は

• A. 実行中サンドボックスに直接install（make connect 後に npm install -g 等）。一時的なので destroy すると当然消える
• B. サンドボックスイメージをカスタマイズ（Dockerfile）。

設定反映リファレンス

make apply は内部で openshell policy set を呼び出す。サンドボックスの再起動は不要で、次のリクエストから新しいポリシーが適用される。モデル変更だけなら前述の openshell inference update --model ... で可能。

おわり

欲しい機能はほぼ揃ってるので事故を起こさないように少しずつ権限を与えていく（＝育てていく）感じだが、仕組みちゃんとわかってないと使いこなすのほぼ無理では？ROI見合わない人が大半かも。

参考

GitHub:

• OpenClaw – AIエージェントフレームワーク本体
• NemoClaw – OpenShell統合レイヤー
• OpenShell – サンドボックスランタイム
• ClawHub – スキルレジストリ

ドキュメント:

• NemoClaw Docs
• OpenShell Docs
• OpenClaw Docs
• NemoClaw Architecture
• OpenShell Policy Schema
• OpenClaw Memory
• OpenClaw Heartbeat
• NVIDIA NIM API Models

関連Issue:

• #33768 TUI messages not displaying in real-time (CLOSED)
• #33758 TUI does not display real-time streaming responses (OPEN)