2026 OpenClaw на арендованной Mac Mini: Opsgenie webhook — ночная тишина, эскалация и backoff

Почему Opsgenie с OpenClaw на одной Mini требует инженерной дисциплины

Apple Silicon в аренде без периметра вокруг plist требует к пейджингу того же уровня дисциплины, что и к публичному API.

1. Размытый outbound. Без allow list на хост US/EU Opsgenie и порт 443 компрометация процесса открывает весь исходящий SaaS.
2. Статичный GenieKey. Ключ в git или чате — постоянный риск; держите per-host секрет, chmod 600 и календарь ротации с перекрытием.
3. Короткая эскалация. Если задержки короче ночного сегмента, 7×24 батч будит вторую линию зря; maintenance и routing должны покрывать p95 плюс буфер.

Матрица входа: прямой HTTPS в Opsgenie или шлюз

Выберите hop с учётом аудита и того, разрешён ли прямой egress с Mini или только через gateway.

На практике команды фиксируют исходящий SNAT или статический egress арендодателя в документе рядом с allow list, чтобы после инцидента не гадать, какой hop сменил адрес. Если Mini живёт в общей сети с CI-агентами, разнесите ключи и лимиты по разным GenieKey, чтобы ночной батч не делил квоту с интерактивными деплоями.

Входящий webhook Opsgenie и исходящий create alert: оркестрация ночного батча

В документации Atlassian Jira Ops / Opsgenie часто встречаются входящие интеграции с URL webhook: внешняя система дергает Opsgenie, а Opsgenie создаёт алерт. Для 7×24 узла на аренде удобнее обратная схема — исходящий HTTPS с Mini (или с шлюза рядом с Mini) в REST v2/alerts с GenieKey: не нужно открывать inbound-порт на арендованной машине, проще согласовать только egress allow list и ротацию токена.

Если же вы хотите, чтобы Opsgenie вызвал скрипт на Mini (например, запуск компенсирующего шага), придётся поднять приёмник с валидным TLS, DNS и фильтрацией по подписи или IP allow list со стороны Opsgenie — это отдельный периметр и больше движущихся частей для ночного батча. В большинстве сценариев OpenClaw остаётся источником решения: он пишет чекпойнты на диск, шлёт create alert при деградации и при успехе закрывает нить через close/ack по API, а политики Opsgenie задают задержку уведомлений и эскалацию поверх уже созданной карточки.

Связку «расписание сегментов + health-webhook + backoff» на самой Mini удобно выровнять с runbook по launchd из блока связанных материалов выше, чтобы ночные окна и повторы не расходились с тем, что ожидает Opsgenie.

Пороги тишины, эскалации и backoff для Opsgenie

Старт для 7×24; подстройте под p95 батча, лимиты API региона и фактическую задержку gateway, если весь исходящий трафик идёт через него. Держите таблицу в репозитории рядом с OpenClaw и обновляйте после каждого изменения сети аренды.

Контракт create alert, который держит OpenClaw

JSON — версионируемый контракт; ломающие правки сопровождайте bump в tags.

• message — одна строка для push: сегмент и код выхода.
• description — логи, длительность шага, ссылки на артефакты.
• alias — дедупликация; всегда включайте hostname Mini.
• priority — без автоматического P1 для ночного ETL-шума.
• entity — каноническое имя узла или inventory id.
• responders, tags — команды, env, openclaw_version, batch_window.

Шесть воспроизводимых шагов от шлюза до проверенного пейджинга

1. Зафиксируйте hostname API региона в runbook и allow list egress; при запрете прямого выхода — компактный forward-proxy с одним upstream.
2. GenieKey только на create alert; вне git, chmod 600, launchd EnvironmentVariables; ротация с перекрытием из таблицы.
3. create alert с авторизацией и контрактом; структурный лог статуса и усечённого тела вне Desktop.
4. В Opsgenie: команда, routing rules, ночные задержки для низкого приоритета, escalation длиннее максимального успешного батча плюс буфер.
5. maintenance или suppress по календарю окон Mini; продлите конец против дребезга SLA.
6. Backoff на 429 и 5xx с джиттером; после пяти попыток — локальная фатальная запись без шторма в Opsgenie.

Цифры для регламента

• Пять попыток create alert на сбой транспорта без человека.
• Шестьдесят секунд — потолок шага backoff с jitter.
• Четырнадцать суток — верхняя «возрастная» норма GenieKey без плановой ротации.
• Alias кодирует tenant, pipeline и stage для непрерывного треда.

FAQ

Нужен ли отдельный inbound webhook от Opsgenie к Mini

Обычно достаточно исходящего create alert; inbound webhook на Mini тянет TLS, DNS и открытый порт — проще acknowledge в приложении Opsgenie.

Как совместить тишину с реальным инцидентом внутри батча

Разведите severity: шумный ETL — P4 с длинной задержкой, поломка инварианта — отдельный alias с P2; после чекпойнта закрывайте карточку автоматизацией.

Что проверить после смены GenieKey

Учебный алерт в тихое окно, проверка команды, отзыв старого ключа и запись в журнале; при прокси — проверка allow list на новый диапазон IP.

Итог. 7×24 контур OpenClaw + Opsgenie на арендованной Mini держится на жёстком egress, узком GenieKey с ротацией и политиках тишины длиннее батча. Наблюдаемость замыкайте отдельным контуром ключей и логов на узле. Узел оформляйте через pokupka.html, tseny, помощь.