NemoClawのsafe installerとポリシーboilerplateを用意した

NemoClawの公式インストーラーをそのまま使うにはいくつか懸念があったため、改修したインストーラーとポリシー・推論プロファイルの boilerplate を構成リポジトリとしてまとめました。セットアップ中に踏んだ罠もあわせて備忘です。

NemoClaw / OpenShell ともに2026年3月時点でAlpha段階のため今後仕様が変わる可能性があります。

NemoClaw / OpenShell / OpenClaw の関係

NemoClawはOpenClawをOpenShellの中に閉じ込め、すべての外部通信をポリシーで制御します。

推論リクエストは Agent → OpenShell Gateway → NVIDIA NIM API（integrate.api.nvidia.com）の経路です。

構成

nemoclaw-install-safe.sh          # インストーラー (後述)
Makefile                          # ライフサイクル管理
blueprint.yaml                    # 推論プロファイル + サンドボックスイメージ
sandboxes.json                    # サンドボックス登録状態 (参照専用)
policies/
  openclaw-sandbox.yaml           # ベースポリシー
  presets/                        # 外部サービス別プリセット (9種)
    discord.yaml / telegram.yaml / slack.yaml
    npm.yaml / pypi.yaml / docker.yaml
    huggingface.yaml / jira.yaml / outlook.yaml
scripts/
  apply.sh                        # ポリシー適用ヘルパー

NemoClawのソースツリー（~/.nemoclaw/source）とは分離しておき、make sync で設定をソースツリーにコピーする設計に変更しました。これにより構成をGit管理しつつ、本体の更新とは独立して設定を変更させます。

Installer

公式インストーラー（curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash）は手軽ですが色々気になったため nemoclaw-install-safe.sh として改修しました。

defaultではすべてのファイルを ~/.nemoclaw 配下に押し込みます。場所は NEMOCLAW_HOME で変更可能です。システムディレクトリ（/usr 等）が指定された場合は拒否します。

installの流れ

graph LR
  A[1. Node.js バージョン確認<br>v20以上必須] --> B[2. NemoClaw clone<br>GitHub → ~/.nemoclaw/source]
  B --> C[3. npm install --ignore-scripts<br>+ OpenClaw tarball検証]
  C --> D[4. CLI を ~/.nemoclaw/prefix に配置]
  D --> E[5. nemoclaw onboard<br>対話的セットアップ]

ライフサイクル管理

NemoClawの起動・停止・ポリシー適用を慣れた make で一元化しました。

make start は Gatewayコンテナの状態（running / exited / missing）を docker inspect で判定し、exited なら docker start → ready待ち → sync → nemoclaw start、running なら sync → nemoclaw start、missing ならエラー、の流れです。

あと今回はnvidia提供のサンドボックスイメージ ghcr.io/nvidia/openshell-community/sandboxes/openclaw:latest をそのまま使います。ここは特にかえる理由がないので。

ポリシー

ベースポリシー（openclaw-sandbox.yaml）

deny by default で、明示的に許可したエンドポイントのみ到達可能です。3つのセクションで構成されます。

filesystemポリシー:

filesystem_policy:
  read_only:
    - /usr
    - /sandbox/.openclaw      # gateway設定の改ざん防止 (creation-locked)
  read_write:
    - /sandbox
    - /sandbox/.openclaw-data # エージェントが書き込む状態ファイル

read_only はサンドボックス作成時に固定されます（creation-locked）。ライブサンドボックスでは追加のみ可能で削除はできません。

networkポリシー:

binaries フィールドが重要で、省略するとすべてのprocessがアクセス可能になりますが、指定するとリストされたバイナリパスからのリクエストのみ許可されます。OpenClawのWeb Fetchは内部で /usr/bin/curl を子processとして呼び出すため、エージェントからアクセスさせるには curl と node を binaries に含める必要があります。

プリセット

外部サービスごとのnetworkポリシーを policies/presets/ に分離してあります。nemoclaw onboard 時に選択し有効化します。

プリセットの構造:

preset:
  name: telegram
  description: "Telegram Bot API access"

network_policies:
  telegram_bot:
    name: telegram_bot
    endpoints:
      - host: api.telegram.org
        port: 443
        protocol: rest
        enforcement: enforce
        tls: terminate
        rules:
          - allow: { method: GET, path: "/bot*/**" }
          - allow: { method: POST, path: "/bot*/**" }

推論プロファイル（blueprint.yaml）

とりあえず nvidia に乗っかればOK。

default はNVIDIA API Keyでクラウドを使用、nim-local / vllm はローカル推論用です。

モデルIDが割り振られるのですが命名規則があり {auth_provider}/{namespace}/{model} のような感じです。onboard で inference を選ぶとフルIDは inference/nvidia/nemotron-3-super-120b-a12bとなります。モデルの動的変更はこのIDを使って openshell inference update --model ... で行います。

セットアップ

make install 後 openclaw onboard が走ります。設定はnemoclawなら一本道です。

細かい仕様

networkアクセスの調整

policies/openclaw-sandbox.yaml でバイナリごとにpath指定します。

github:
  binaries:
    - { path: /usr/bin/gh }
    - { path: /usr/bin/git }
    - { path: /usr/local/bin/openclaw }  # 追加
    - { path: /usr/bin/curl }            # 追加
    - { path: /usr/local/bin/node }      # 追加

ログを見てブロック原因を特定するなら

openshell logs <name> --source sandbox --level debug --since 5m

ログの action=deny エントリに拒否理由とバイナリパスが記録されています。binaries はリクエストを実際に発行するprocessのパスを指定する必要があります。

readonly制約

/sandbox/.openclaw が read_only（creation-locked）なので以下は通常はブロックされます。

• openclaw config set（一時ファイルを書けない）
• MEMORY.md へのエージェント書き込み
• ワークスペースファイルの更新

エラーは filesystem read_only path cannot be removed on a live sandbox などと出ます。/sandbox/.openclaw を read_write に移す以外にライブで可能にする方法はありません。

NemoClawの設計思想はエージェントが自身の設定や権限を変更できないようにする方向性のようです。MEMORY.mdくらいはできていいと思うのですが。。

スキルは手で入れる

openclaw skills list の結果は 3/51 ready で weatherとかしかありません。

skillに要るCLIのinstall方法は以下です。

• A. 実行中サンドボックスに直接install（make connect 後に npm install -g 等）。一時的なので destroy すると当然消えます
• B. サンドボックスイメージをカスタマイズ（Dockerfile）

設定反映リファレンス

make apply は内部で openshell policy set を呼び出します。サンドボックスの再起動は不要で、次のリクエストから新しいポリシーが適用されます。モデル変更だけなら前述の openshell inference update --model ... で可能です。

おわり

欲しい機能はほぼ揃っているので事故を起こさないように少しずつ権限を与えていく（＝育てていく）感じですが、仕組みちゃんとわかっていないと使いこなすのはほぼ無理ではないでしょうか。ROI見合わない人が大半かもしれません。

参考

GitHub:

• OpenClaw – AIエージェントフレームワーク本体
• NemoClaw – OpenShell統合レイヤー
• OpenShell – サンドボックスランタイム
• ClawHub – スキルレジストリ

ドキュメント:

• NemoClaw Docs
• OpenShell Docs
• OpenClaw Docs
• NemoClaw Architecture
• OpenShell Policy Schema
• OpenClaw Memory
• OpenClaw Heartbeat
• NVIDIA NIM API Models

関連Issue:

• #33768 TUI messages not displaying in real-time (CLOSED)
• #33758 TUI does not display real-time streaming responses (OPEN)