1. 为什么要在 EC2 上折腾 OpenClaw 全自动部署OpenClaw 是一个可以常驻运行、通过聊天渠道接收指令的 AI Agent 框架社区里习惯叫它“龙虾”。它能做什么简单说你给它配好模型通道和消息渠道它就能在服务器上自己执行命令、读写文件、调用云资源甚至完成一整套部署流程。适合谁适合想把 AI Agent 真正跑在云上、又不想每次手动 SSH 敲一堆命令的开发者。但问题也很明显在 EC2 上部署 OpenClaw传统流程要手动创建实例、配安全组、绑弹性 IP、装 Node.js、写配置、启动 Gateway每一步都要开终端。更麻烦的是模型调用——如果用 Bedrock要处理 IAM 角色和区域路由如果用其他模型通道又得在每个实例上单独配 Key。实例一多Key 管理就成了灾难。我试过在一台 t4g.large 上手动部署光 IAM 策略调试就花了四十分钟。后来换成 TaoToken 统一 Key 通道配合 OpenClaw 的自动部署能力整个链路压缩到 25 分钟以内而且人类操作时间不超过 5 分钟。这篇就把可复制的 config.toml、settings.json 骨架、SSH 免密验证和连通性检查动作全部交出来你照着做就能复现。核心思路是用 TaoToken 作为统一的模型 API 入口OpenClaw 实例不需要各自持有 Bedrock 或其他模型的原始凭证只需要一个 TaoToken Key。IAM 角色负责 EC2 资源操作权限Bedrock 负责模型推理TaoToken 负责把模型调用统一收口。三者结合新实例上线时不用再配任何模型 Key。2. TaoToken 前置统一 Key 与 API 通道准备在开始 EC2 部署之前先把 TaoToken 的 Key 和通道准备好。这一步不做后面 OpenClaw 的模型调用会直接失败。TaoToken 的定位是统一模型 API 通道官网地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。你需要先注册并创建一个 API Key这个 Key 会作为 OpenClaw 所有实例的模型调用凭证。具体操作路径进入控制台后找到 API Keys 管理页面创建一个新的 Key。建议按用途命名比如openclaw-ec2-prod方便后续审计。创建完成后立刻复制保存页面刷新后不会再显示完整 Key。TaoToken 的 API 基础地址是 https://taotoken.net/api 这个地址会写进 OpenClaw 的配置文件中。注意API 地址不带 UTM 参数直接使用即可。如果你后续要做长期编码或 Agent 任务可以关注 Coding Plan 页面它针对高频调用场景做了额度优化。如果只是想先验证模型连通性可以用模型对话页面直接测试。接入文档在 doc 页面API Keys 管理在 api-keys 页面控制台在 console 页面。这里有一个关键点TaoToken 的 Key 是统一凭证意味着你不需要在每台 EC2 上分别配置 Bedrock 的 IAM 凭证或其他模型厂商的 Key。新实例上线时只需要把同一个 TaoToken Key 写进配置模型调用就能通。这大幅简化了多实例部署的复杂度。注意TaoToken Key 属于敏感凭证不要硬编码在公开仓库里。建议通过 EC2 实例的用户数据脚本或环境变量注入后续配置章节会给出具体做法。3. 可复制配置config.toml 与 settings.json 骨架这一章给出完整的配置文件骨架你可以直接复制修改。OpenClaw 的配置分为两部分config.toml负责 Gateway 和渠道settings.json负责模型 provider 和路由。先看config.toml。这个文件放在~/.openclaw/config.toml主要定义 Gateway 监听、Telegram 渠道和日志级别。[gateway] host 0.0.0.0 port 18789 log_level info [channels.telegram] enabled true bot_token ${TELEGRAM_BOT_TOKEN} allowed_users [your_telegram_user_id] [channels.telegram.pairing] enabled true approve_mode manual [security] require_pairing true max_sessions 5bot_token用环境变量占位实际部署时通过 systemd 的EnvironmentFile注入。allowed_users填你自己的 Telegram 用户 ID避免陌生人触发 Agent。再看settings.json。这个文件放在~/.openclaw/settings.json定义模型 provider 和 TaoToken 通道。{ models: { default_provider: taotoken, providers: { taotoken: { type: openai-compatible, base_url: https://taotoken.net/api, api_key: ${TAOTOKEN_API_KEY}, models: [ { id: claude-sonnet-4-6, context_window: 200000, max_output: 8192 }, { id: claude-haiku-4-5, context_window: 200000, max_output: 4096 } ] }, amazon-bedrock: { type: aws-sdk, region: us-east-1, models: [ { id: us.anthropic.claude-sonnet-4-6, context_window: 200000 } ] } }, routing: { default: taotoken/claude-sonnet-4-6, fallback: amazon-bedrock/us.anthropic.claude-sonnet-4-6 } }, agent: { workspace: /home/ubuntu/.openclaw/workspace, max_turns: 30, shell_timeout: 300 } }这里的关键设计是默认走 TaoToken 通道Bedrock 作为 fallback。TaoToken 的base_url指向https://taotoken.net/apiapi_key用环境变量注入。Bedrock 的模型 ID 用us.前缀启用跨区域推理路由。IAM 权限方面OpenClaw 所在 EC2 实例的角色需要以下策略权限策略用途AmazonEC2FullAccess创建/管理 EC2 实例、弹性 IP、安全组IAMFullAccess管理 IAM 策略实例需要给自己加权限AmazonBedrockFullAccess调用 Bedrock 模型作为 fallback注意这些权限适合实验和测试环境。生产环境请遵循权限收敛原则只授予必要操作权限。实验结束后记得收紧。SSH 免密验证是自动部署的关键。OpenClaw 需要从母体实例 SSH 到新实例所以母体的~/.ssh/id_ed25519.pub要能推送到新实例的authorized_keys。如果新实例没有绑定 PEM 文件可以用 EC2 Instance Connect 推送临时公钥但公钥只有 60 秒有效必须推送后立刻 SSH 进去写入永久公钥。# 推送临时公钥60 秒有效 aws ec2-instance-connect send-ssh-public-key \ --instance-id i-xxxxxxxx \ --instance-os-user ubuntu \ --ssh-public-key file:///home/ubuntu/.ssh/id_ed25519.pub # 趁窗口写入永久公钥 ssh -o StrictHostKeyCheckingno ubuntunew-ip \ echo pubkey ~/.ssh/authorized_keys这两条命令是自动部署链路的核心。母体 OpenClaw 执行完这两步后后续所有 SSH 操作都不需要再处理密钥问题。4. 验证请求与成功结果连通性检查动作配置写完后不要急着启动 Gateway先做三层验证TaoToken 通道连通性、Bedrock fallback 连通性、OpenClaw Gateway 自身健康检查。第一层验证 TaoToken 通道。在 EC2 实例上执行 curl 请求确认 API Key 和 base_url 正确。curl -s -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer ${TAOTOKEN_API_KEY} \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-6, messages: [{role: user, content: ping}], max_tokens: 16 } | jq .choices[0].message.content如果返回内容非空说明 TaoToken 通道正常。如果返回 401检查 Key 是否正确注入如果返回 404检查 base_url 是否漏了/api路径。第二层验证 Bedrock fallback。确认 IAM 角色有 Bedrock 权限且模型 ID 带us.前缀。aws bedrock-runtime invoke-model \ --model-id us.anthropic.claude-sonnet-4-6 \ --body {anthropic_version:bedrock-2023-05-31,max_tokens:16,messages:[{role:user,content:ping}]} \ --region us-east-1 \ /tmp/bedrock-out.json cat /tmp/bedrock-out.json如果报AccessDenied检查 IAM 角色是否附加了AmazonBedrockFullAccess如果报ValidationException检查模型 ID 是否用了us.前缀。第三层启动 OpenClaw Gateway 并检查健康状态。# 启动 Gateway openclaw gateway install loginctl enable-linger ubuntu systemctl --user start openclaw-gateway.service # 检查服务状态 systemctl --user status openclaw-gateway.service # 检查端口监听 ss -tlnp | grep 18789 # 查看日志 journalctl --user -u openclaw-gateway.service -n 50 --no-pager成功的结果是服务状态显示active (running)端口 18789 处于监听状态日志中没有provider error或auth failed字样。最后做端到端验证在 Telegram 里给 bot 发一条消息OpenClaw 应该返回配对码。在实例上执行配对批准openclaw pairing approve pairing-code配对完成后再发一条消息如果 Agent 正常响应说明整条链路打通。此时新实例的 OpenClaw 已经可以独立工作模型调用走 TaoToken 统一通道Bedrock 作为备用。5. 本篇常见错排查部署过程中最容易踩的坑集中在 IAM 传播延迟、SSH 公钥时效和 systemd 用户服务生命周期这三块。坑一IAM 策略传播有延迟。执行aws iam put-role-policy后立刻操作资源可能报UnauthorizedOperation。解决方案是等待约 10 秒再执行后续命令。可以在脚本里加sleep 10或者用循环重试。坑二EC2 Instance Connect 公钥只有 60 秒有效。推送临时公钥后如果超过 60 秒才 SSH会报Permission denied。解决方案是推送后立刻 SSH 进去写入永久公钥不要中间插入其他耗时操作。坑三SSH 断开后 systemd user service 停止。默认情况下用户注销后 user service 会被终止。必须执行loginctl enable-linger ubuntu让用户服务在注销后继续运行。坑四新实例没有 Python/pip。如果用 Node.js 方式安装 OpenClaw不依赖 Python。但如果你的部署脚本里有 Python 步骤需要先装python3和pip3。坑五Bedrock 模型 ID 需要用 Inference Profile。直接写anthropic.claude-sonnet-4-6可能报ValidationException必须用us.前缀的跨区域推理 ID。坑六TaoToken Key 注入失败。如果用 systemd 的EnvironmentFile注意文件权限要设为600且路径要写绝对路径。检查systemctl --user show-environment确认变量已加载。坑七安全组没放行端口。OpenClaw Gateway 监听 18789如果要从外部访问安全组需要放行该端口。但 Telegram 渠道是出站连接不需要入站放行。排障时优先看日志journalctl --user -u openclaw-gateway.service -f实时跟踪大部分错误会在日志里直接给出原因。6. 接入与长期运行建议如果你在排障或接入阶段遇到问题优先查阅 TaoToken 的接入文档和 API Keys 管理页面确认 Key 状态和通道配置。文档地址是 https://taotoken.net/doc API Keys 管理在 https://taotoken.net/api-keys 控制台在 https://taotoken.net/console 。验证模型连通性时可以直接用模型对话页面测试地址是 https://taotoken.net/chat 。如果你打算长期跑编码或 Agent 任务建议关注 Coding Plan地址是 https://taotoken.net/coding-plan 它针对高频调用场景做了额度优化。对于 Claude Code 或 Anthropic 风格的接入TaoToken 也提供了对应通道参考 https://taotoken.net/claudecode-anthropic 。实际跑下来这套方案最省心的地方是新实例上线时只需要注入一个 TaoToken Key模型调用就能通不用再处理 Bedrock 的 IAM 凭证轮换或其他厂商的 Key 管理。IAM 角色负责资源操作TaoToken 负责模型调用职责分离清晰。部署完成后母体实例可以保留完整权限用于管理基础设施子体实例只保留 Bedrock 和 TaoToken 调用权限遵循最小权限原则。最后提醒一点实验环境用的宽权限 IAM 策略不要带到生产。部署验证完成后及时收紧角色策略只保留必要的操作权限。