2026 OpenClaw 플러그인: fail-closed·분계 승인·MeshMac 다중 노드
공유 셸의 OpenClaw 플러그인은 fail-closed로 미등록 설치와 로드를 막고 강제 불안전 설치는 티켓·만료·짧은 창에만 둡니다. 분계 승인으로 정책 해시를 노드 전체에 맞춥니다. 로그인형 관리 콘솔 URL은 쓰지 않습니다.
왜 막나요
- 허용 한 줄 오타면 표면 급증
- 스위치 상설은 감사 붕괴
- 리비전 갈림은 게이트웨이 혼선
재현 체크리스트
- 한 줄 위협 모델
- 미등록·무결성·파싱 오류는 설치와 로드 거부
- 원장에 식별자·버전·다이제스트·티켓
- 스위치는 로컬·만료·티켓·저장소 기본값 금지
- 제안·승인·적용 분리와
mesh_node_id프로브 - 클래스마다 거부·허용 자동 검증
| 모드 | 행동 | 의미 |
|---|---|---|
| fail-open | 차단 전 허용 | 표면 급증 |
| fail-closed | 명시 전 거부 | 미등록 차단 |
| 불안전 설치 | 검사 무시 | 짧은 창·만료 |
정책·모드 선택
풀링 Mac에선 허용 전 거부가 안전합니다. 불안전 설치는 비상만 일상 금지 승인과 적용은 분리하세요.
티켓 증거 후 리더가 라벨과 상한을 붙이고 plugin-policy@YYYY-MM-DD.n을 카나리아에 올린 뒤 변경 창에서 동일 해시를 전 노드에 올립니다.
노드 일관성
역할마다 같은 정책 해시와 시작 로그의 policy_revision을 맞추세요. 갈리면 삼백사백이 정책 뇌분열처럼 보입니다.
부팅 거부·허용 프로브와 스위치 꺼짐 검사를 자동화합니다. 스킬 템플릿·배포 큐와 핀을 같이 움직이고 예외는 역할 오버레이로만 표현합니다.
변경 창
스위치와 큰 허용 목록은 짧은 공지 창에 온콜·롤백·별도 상태 채널을 붙이고 해시 스냅샷 후 카나리아에서 점진 확대합니다.
끝날 때 전 노드에서 스위치를 끄고 프로브를 다시 돌립니다. 연장은 새 만료 티켓으로만 허용합니다.
롤백
먼저 불안전 설치를 끄고 좋은 정책 해시를 재배포한 뒤 큐 캐시가 있으면 워커를 의존 순으로 재시작합니다. 원장에 시각·행위자·이유·상관을 남기고 나쁜 다이제스트는 명시 차단합니다.
게이트웨이만 문제면 로드밸런스로 비웁니다.
감사 로그 요점
한 줄에 UTC·mesh_node_id·역할·policy_revision·버전·결정·티켓·스위치 여부를 넣고 비밀 대신 핸들만 남깁니다. 거부 로그가 없으면 프로브가 고장입니다.
번들 이름에 날짜·증가 번호 클래스마다 거부·허용 프로브 스위치는 만료 없이 저장소 금지 사후엔 policy_revision으로 수렴을 증명합니다.
FAQ
- 시니어가 스위치를 직접 켜도 되나요
- 분리하세요. 인프라 적용과 보안 승인 신원이 둘 다 로그에 남아야 합니다.
- 서명이 밤새 깨졌는데 유지해도 되나요
- 불가. 짧은 만료와 감시자 보완 통제를 티켓에 붙이세요.
- fail-closed 증명은
- 구성 관리나 헬스 잡으로 자동 거부 테스트와 거부 로그 샘플을 쓰세요.
- 한 노드만 옛 플러그인
- 로컬 오버라이드 환경 변수 캐시 이미지 레이어를 찾아 비우세요.