OpenClaw サンドボックス 5 分で始める：AI Agent に隔離されたクラウド Mac を

「動く」と「任せられる」は別問題

AI コーディングアシスタントは、もはや数行の補完どころではない——ターミナルを開き、依存関係を入れ、ファイルを一括編集し、ときにはモデルやパッケージ索引のためにネットワークへ出る。 macOS 開発では Xcode、Apple の署名チェーン、Neural Engine 上のローカル推論が必要な場面も多い。 純粋な Linux コンテナではこれらを再現できず、MacBook 上で Agent を裸で動かすと、個人メールや SSH 秘密鍵、IDE のグローバル設定と同じシステム権限を共有することになる。

よくあるトラブルは三つに集約される。~/Library/Developer/Xcode/DerivedData を Agent が誤削除し、次のクリーンビルドが 15 分以上伸びる； スクリプトが ~/.ssh/id_ed25519 をただのテキストとして読み、ログに載せる； 無人ジョブがバックグラウンドで 8 GB メモリを握ったまま、マシンが swap に落ちてカクつく。 これはモデルが「賢くない」のではなく、操作レベルの境界がないことが原因だ。Enter を押す前に、何を許し何を禁止するかを書いておく必要がある。

OpenClaw は、専用 Mac mini M4 ベアメタル上で ZovCloud が提供するサンドボックス層だ。各タスクは独立セッションで動き、 ファイルシステム・システムコール・外向きネットワークをポリシーで絞れる。ALLOW / BLOCK はすべて監査ストリームに記録される。 本記事では YAML の全フィールドを本番解説せず、「開通 → 検証 → 初タスク → ログ確認」の最短ルートだけを示す。

5 分ルート：事前に揃えるもの

手順は四段階に圧縮できる。各段階には明確な「完了条件」があり、期待どおりの出力が出たら次へ進めばよい。概念を全部理解するまで待つ必要はない。

前提は二つだけ。稼働中の ZovCloud Mac mini M4 ノード（支払い後 1–5 分で自動開通）と、SSH またはブラウザ VNC での接続。 まだマシンがない場合は注文ページでシンガポール、日本（東京）、韓国（ソウル）、中国香港、米国東部のいずれかを選び、日額 $19.8 から、長期契約なし。 本チュートリアルはノードの Owner を想定——個人で試すだけなら、先にマルチユーザーロールを設定する必要はない。

ステップ 1：コンソールで OpenClaw を初期化（約 60 秒）

ZovCloud コンソールにログインし、「マイインスタンス」から対象の Mac mini M4 を選び、稼働中であることを確認する。 上部の OpenClaw タブを開く——初回は「ゼロトラスト初期化」ウィザードが表示される。順に進めればよい：

1. 01
   ノード鍵ペアの生成

   コンソールが当該ベアメタル用の Ed25519 鍵ペアを作成し、com.zovcloud.openclaw.daemon デーモンをインストールする。秘密鍵の手動コピーは不要。トークンはコンソールから一度だけ配布される。

2. 02
   Endpoint Security とネットワーク拡張の承認

   macOS がファイル・プロセス監視の権限を求めるシステムダイアログを表示する——監査ログのデータ源なので「許可」が必須。VNC 経由の場合はリモートデスクトップを前面に置き、ダイアログが背面に隠れないようにする。

3. 03
   CLI インストールスクリプトの取得

   ページのワンラインコマンドをターミナルで実行し、claw を /usr/local/bin/ に配置する。完了後、claw auth login --token <YOUR_TOKEN> でノードを紐付ける。

初期化後、ダッシュボードにデーモン状態、直近 24 時間の BLOCK 件数、アクティブセッション数（この時点では 0）が表示される。 「承認待ち」で止まる場合は、システム設定 → プライバシーとセキュリティ → フルディスクアクセス / エンドポイントセキュリティで OpenClaw 関連項目にチェックが入っているか確認する。

ステップ 2：SSH ログインと claw doctor

コンソールメールの SSH 認証情報でノードに入る（例）：

ssh zovcloud@<your-node-ip>

次のヘルスチェックを順に実行する——以降のセッションでも習慣化しておくとよい：

claw status

claw doctor

claw status で見たい値：daemon: running、auth: valid、es: granted。 claw doctor は監査ディレクトリ /var/log/openclaw/ の書き込み可否や組み込みテンプレートの整合性も確認する。 auth: expired の場合はコンソールの OpenClaw ページでトークンを更新し、再度 claw auth login する。

ステップ 3：組み込みテンプレートで初回サンドボックスを起動

YAML をゼロから書く必要はない——OpenClaw には agent-dev テンプレートがあり、 workspace 内でのコード変更、システムツールの読み取り、SSH・キーチェーンへのアクセス禁止といった日常開発向け Agent に向いている。 作業用ディレクトリを作り、セッションを起動する：

mkdir -p ~/agent-workspace && cd ~/agent-workspace

claw run --template agent-dev --detach

claw list

claw list は sess_a8f3c2 のようなセッション ID を出力する——attach と監査クエリで使うので控えておく。 agent-dev の既定値：workspace は書き込み可、/Applications と /usr/local/bin は読み取り専用マウント、 ~/.ssh と ~/Library/Keychains は明示的 deny、外向きは一般的な API・パッケージ索引ドメインのみ許可。

テンプレートの境界をざっと見るには（実行中セッションには影響しない）：

claw template export agent-dev > /tmp/agent-dev-policy.yaml

最初のうちは block_all_others: false にしたり deny リストを削ったりしない—— 既定境界内で実タスクが完走することを確認してから緩める。後からログを追うより、先に絞る方が安い。

ステップ 4：サンドボックス内で Agent を動かし、監査ログを読む

Agent コマンドはホストのシェルではなくサンドボックスに入れる。以下は Claude Code の例。Cursor Agent、Aider、自前スクリプトでも可：

claw attach sess_a8f3c2 --exec "claude -p 'workspace に hello.py を作って実行して'"

別ターミナルで、そのセッションの監査イベントをリアルタイム追跡する（ID は自分のものに置き換え）：

claw audit tail sess_a8f3c2 --follow

正常時は FILE_WRITE、PROC_EXEC などの ALLOW レコードが、フルパスとタイムスタンプ付きで流れる。 次に、ブロックされるべきパスを試す——SSH ディレクトリの読み取り：

claw attach sess_a8f3c2 --exec "cat ~/.ssh/id_ed25519"

コマンドは失敗し、監査に FILE_READ · BLOCK · ~/.ssh/id_ed25519 が記録される——ポリシーが効いている証拠で、モデルが「急に大人しくなった」わけではない。 終わったらセッションを明示的に停止し、16 GB ユニファイドメモリ上の workspace・プロセス占有を解放する：

claw stop sess_a8f3c2

記録を残す場合は JSON でエクスポート（チケットやセキュリティレビュー向け）：

claw audit export sess_a8f3c2 --format json --output ~/audit-first-run.json

最初の 5 分でつまずきやすい四つのポイント

サポートで多い「クイックスタート」系の問い合わせを四つにまとめた。以下を当てはめれば、多くは 2 分以内に復旧する。

1. 01
   ES 承認が未完了 → claw doctor が es: denied

   macOS のシステム設定でエンドポイントセキュリティを再有効化。必要なら sudo launchctl kickstart -k system/com.zovcloud.openclaw.daemon でデーモンを再起動し、claw doctor を再実行。

2. 02
   Homebrew ツールが見つからない → PROC_EXEC BLOCK

   agent-dev は /usr/local/bin をマウントするが、git が Cellar へ symlink している場合は Cellar も読み取り専用で追加。which git で実パスを確認しポリシーと照合。

3. 03
   ネットワークタイムアウト → モデル API が既定ポリシーでブロック

   claw audit query --since 1h --action BLOCK --type network で拒否ドメインを確認し、allow_domains に追加するか、既に許可されたミラーを使う。

4. 04
   claw stop を忘れた → メモリ占有が下がらない

   claw list で残セッションを確認し、claw stop <id> で順に停止。テンプレート既定の idle_timeout: 30m あっても、長時間ジョブはスクリプト末尾に claw stop を入れる。

次の一歩：Agent をノート PC から隔離されたクラウド Mac へ

5 分ルートが答えるのは「サンドボックスが起動するか」まで。チーム運用では、共有ノードのロール分離、 CI で PR ごとに独立セッションを立てる方法、本番向け policy.yaml でパス漏れを防ぐ設計——これらは OpenClaw 完全ガイドで章立てしており、本記事では繰り返さない。

なぜ Agent を ZovCloud のクラウド Mac に置くのか。第一にベアメタル専用——Mac mini M4 は仮想化せずオーバーセルしない。16 GB メモリと 10 コア CPU が丸ごと使え、 Agent のコンパイルやローカルモデル実行が日常の IDE と swap を奪い合わない。 第二にフル macOS——Xcode、コード署名、Neural Engine 推論パスが揃い、Linux VPS では代替できない。 第三にOpenClaw がマシンと一体提供——支払い後 1–5 分で開通、シンガポール・日本（東京）・韓国（ソウル）・中国香港・米国東部の五リージョンから選べ、監査ログは既定で 90 日保持。

料金は日額 $19.8 から、週 $53.5、月 $99.1。契約縛りなし。 個人開発者は「Agent 実験日」だけ日単位で借りられる。小チームは常時 1 台を確保し、ノート PC を「ビルド機 + Agent 機 + メール機」の三役から解放できる。 すでに GitHub Actions セルフホスト Runner があるなら、同じクラウド Mac で iOS ビルドと OpenClaw 隔離 PR レビューの両方を回せる——機材を二重に買わずに済む。

OpenClaw の価値は派手なダッシュボードではなく、ファイル読み書き・プロセス起動・ネットワーク要求のそれぞれを 事前に限定し、事後に追跡できることにある。 まず 5 分で 1 セッションを通し、チームのペースで本番級ポリシーに絞り込む——「任せられる」順序はそれで十分だ。