基于腾讯云的OpenClaw企业级部署实践：CVM+TDSQL+微信Bot全链路打通

                        企业微信用户
                            │
                            ▼
┌──────────────────────────────────────────────────────┐
│                   企业微信Bot回调                      │
│               (HTTPS + 消息加解密)                     │
└─────────────────────────┬────────────────────────────┘
                          │
                          ▼
┌──────────────────────────────────────────────────────┐
│              CLB (负载均衡)                            │
│          四层TCP转发 / 健康检查                        │
└───────────┬─────────────┬────────────────────────────┘
            │             │
            ▼             ▼
     ┌────────────┐ ┌────────────┐
     │  CVM实例1   │ │  CVM实例2   │    Agent Runtime
     │  (主节点)   │ │  (备节点)   │    Node.js 20
     └──────┬─────┘ └──────┬─────┘
            │              │
            ▼              ▼
┌──────────────────────────────────────────────────────┐
│                   基础设施层                           │
│                                                       │
│  ┌──────────┐  ┌──────────┐  ┌───────┐  ┌────────┐  │
│  │ TDSQL-C  │  │  Redis   │  │  COS  │  │  CLS   │  │
│  │(PostgreSQL│  │ (会话缓存│  │(Skill │  │(日志采集│  │
│  │ +pgvector)│  │  +队列)  │  │ 资产) │  │ +告警) │  │
│  └──────────┘  └──────────┘  └───────┘  └────────┘  │
└──────────────────────────────────────────────────────┘

# 使用腾讯云CLI创建实例（也可在控制台操作）
# 机型：SA3.MEDIUM4（2核4G），系统盘50G SSD
tccli cvm RunInstances \
  --InstanceType SA3.MEDIUM4 \
  --ImageId img-ubuntu2204 \
  --SystemDisk '{"DiskType":"CLOUD_BSSD","DiskSize":50}' \
  --InstanceCount 2 \
  --InstanceName "openclaw-agent" \
  --SecurityGroupIds '["sg-xxxxxx"]' \
  --VpcId vpc-xxxxxx \
  --SubnetId subnet-xxxxxx

# 控制台操作更方便，这里列出关键配置
# 产品：TDSQL-C PostgreSQL版 Serverless
# 版本：PostgreSQL 16
# 计费：Serverless按量（自动暂停，不用不收钱）
# 网络：与CVM同VPC同子网

-- 连接TDSQL-C
psql -h <tdsql-c-host> -U root -d openclaw

-- 启用pgvector扩展
CREATE EXTENSION IF NOT EXISTS vector;

-- 创建记忆表
CREATE TABLE short_term_memory (
  id BIGSERIAL PRIMARY KEY,
  conversation_id VARCHAR(64) NOT NULL,
  role VARCHAR(16) NOT NULL,
  content TEXT NOT NULL,
  tool_calls JSONB,
  created_at TIMESTAMPTZ DEFAULT NOW()
);
CREATE INDEX idx_stm_conv ON short_term_memory(conversation_id, created_at DESC);

CREATE TABLE mid_term_memory (
  id BIGSERIAL PRIMARY KEY,
  conversation_id VARCHAR(64) NOT NULL,
  user_id VARCHAR(64) NOT NULL,
  summary TEXT NOT NULL,
  key_facts JSONB,
  created_at TIMESTAMPTZ DEFAULT NOW(),
  expires_at TIMESTAMPTZ
);
CREATE INDEX idx_mtm_user ON mid_term_memory(user_id, created_at DESC);

CREATE TABLE long_term_memory (
  id BIGSERIAL PRIMARY KEY,
  user_id VARCHAR(64) NOT NULL,
  content TEXT NOT NULL,
  category VARCHAR(32),
  embedding vector(1536) NOT NULL,
  created_at TIMESTAMPTZ DEFAULT NOW(),
  updated_at TIMESTAMPTZ DEFAULT NOW()
);
CREATE INDEX idx_ltm_vec ON long_term_memory
  USING ivfflat (embedding vector_cosine_ops) WITH (lists = 100);

-- 记忆自动过期清理（中期记忆）
CREATE OR REPLACE FUNCTION cleanup_expired_memory()
RETURNS void AS $$
BEGIN
  DELETE FROM mid_term_memory WHERE expires_at < NOW();
  DELETE FROM short_term_memory
    WHERE created_at < NOW() - INTERVAL '7 days';
END;
$$ LANGUAGE plpgsql;

# 产品：云数据库Redis 7.0 标准版
# 规格：1G内存（初期够用，可在线扩容）
# 网络：与CVM同VPC

# 安装Node.js 20
curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
sudo apt-get install -y nodejs

# 安装编译依赖（pgvector的hnswlib需要）
sudo apt-get install -y cmake build-essential

# 安装OpenClaw
npm install -g openclaw

# 创建工作目录
mkdir -p /opt/openclaw && cd /opt/openclaw
openclaw init

# /opt/openclaw/config.yaml

gateway:
  port: 18789
  host: "0.0.0.0"          # 绑定所有网卡（安全组已限制来源）

models:
  default: "claude"
  timeout: 30000
  retry: 2
  providers:
    claude:
      # API Key从腾讯云凭据管家拉取，不写明文
      api_key: "${SSM:openclaw/claude-api-key}"
      model: "claude-sonnet-4-6"
    # 备用模型：混元（腾讯自研，内网调用延迟低）
    hunyuan:
      api_key: "${SSM:openclaw/hunyuan-api-key}"
      model: "hunyuan-pro"
      endpoint: "https://hunyuan.tencentcloudapi.com"

# 记忆系统指向TDSQL-C
memory:
  storage: "postgresql"
  postgresql:
    host: "${SSM:openclaw/tdsql-host}"
    port: 5432
    database: "openclaw"
    user: "root"
    password: "${SSM:openclaw/tdsql-password}"
    ssl: true

# 会话和队列指向Redis
session:
  storage: "redis"
  redis:
    host: "${SSM:openclaw/redis-host}"
    port: 6379
    password: "${SSM:openclaw/redis-password}"

queue:
  type: "bullmq"
  redis:
    host: "${SSM:openclaw/redis-host}"
    port: 6379
    password: "${SSM:openclaw/redis-password}"
  concurrency: 3
  limiter:
    max: 20
    duration: 60000

# 企业微信通道
channels:
  wecom:
    enabled: true
    corp_id: "${SSM:openclaw/wecom-corp-id}"
    agent_id: "${SSM:openclaw/wecom-agent-id}"
    secret: "${SSM:openclaw/wecom-secret}"
    token: "${SSM:openclaw/wecom-token}"
    encoding_aes_key: "${SSM:openclaw/wecom-aes-key}"

# Skill资产存储到COS
skills:
  storage: "cos"
  cos:
    bucket: "openclaw-skills-xxxxxxx"
    region: "ap-guangzhou"
    secret_id: "${SSM:openclaw/cos-secret-id}"
    secret_key: "${SSM:openclaw/cos-secret-key}"

# 安全配置
security:
  allowed_commands: ["ls", "cat", "grep", "python3", "node"]
  blocked_commands: ["rm -rf", "sudo", "chmod 777", "curl", "wget"]
  allowed_paths: ["/opt/openclaw/workspace", "/tmp/openclaw"]
  blocked_paths: ["/etc", "/root", "/home"]
  require_approval: ["file_write", "shell_exec", "http_request"]

# 使用腾讯云CLI写入密钥（只需执行一次）
tccli ssm CreateSecret --SecretName "openclaw/claude-api-key" \
  --SecretString "sk-ant-api03-xxxxxx"

tccli ssm CreateSecret --SecretName "openclaw/tdsql-host" \
  --SecretString "tdsqlc-xxxxxx.sql.tencentcdb.com"

tccli ssm CreateSecret --SecretName "openclaw/tdsql-password" \
  --SecretString "your-db-password"

tccli ssm CreateSecret --SecretName "openclaw/redis-host" \
  --SecretString "redis-xxxxxx.redis.tencentcdb.com"

# ... 其他密钥同理

# /etc/systemd/system/openclaw.service
[Unit]
Description=OpenClaw AI Agent
After=network.target

[Service]
Type=simple
User=openclaw
WorkingDirectory=/opt/openclaw
ExecStart=/usr/bin/node /usr/lib/node_modules/openclaw/bin/openclaw start --config /opt/openclaw/config.yaml
Restart=always
RestartSec=5
Environment=NODE_ENV=production

# 资源限制
LimitNOFILE=65536
MemoryMax=1G
CPUQuota=150%

# 日志输出到CLS采集路径
StandardOutput=append:/var/log/openclaw/agent.log
StandardError=append:/var/log/openclaw/agent-error.log

[Install]
WantedBy=multi-user.target

# 创建运行用户
sudo useradd -r -s /sbin/nologin openclaw
sudo chown -R openclaw:openclaw /opt/openclaw

# 启动服务
sudo systemctl daemon-reload
sudo systemctl enable openclaw
sudo systemctl start openclaw

# 检查状态
sudo systemctl status openclaw
curl http://localhost:18789/health

# 创建CLB实例（内网型，仅VPC内可访问）
# 如果需要接收企业微信回调，需要公网CLB + HTTPS证书

# 监听器配置
# 前端：HTTPS:443（绑定SSL证书）
# 后端：TCP:18789（两台CVM）
# 健康检查：HTTP GET /health，间隔10秒，阈值3次

https://agent.yourcompany.com/webhook/wecom

# 安装腾讯云日志采集Agent（LogListener）
wget https://mirrors.tencent.com/install/cls/loglistener-linux-x64.tar.gz
tar -zxvf loglistener-linux-x64.tar.gz
cd loglistener && sudo ./install.sh

# 配置采集路径
# 在CLS控制台创建日志主题，配置采集规则：
# 采集路径：/var/log/openclaw/*.log
# 解析模式：JSON（OpenClaw日志默认JSON格式）

系统指标：
├── CVM CPU/内存/磁盘使用率
├── TDSQL-C 连接数/QPS/慢查询
├── Redis 内存使用/命中率/连接数
└── CLB 活跃连接数/健康后端数

业务指标（从CLS日志聚合）：
├── 日消息处理量
├── 模型调用延迟（P50/P99）
├── 工具调用成功率
├── 记忆检索命中率
└── 月度Token消耗及成本