用 OpenClaw 做 K8s AIOps：4 个场景从构思到落地

---
name: k8s-troubleshoot
description: Kubernetes 故障诊断 Skill
metadata:
  openclaw:
    requires:
      bins: ["kubectl"]
      env: ["KUBECONFIG"]
    primaryEnv: "KUBECONFIG"
---

# K8s 故障诊断流程

当收到告警时，按以下步骤执行：

1. 获取告警资源信息
2. 检查 Pod 状态
3. 查看日志
4. 检查事件
5. 查询 Prometheus 指标

{
  "task": "分析 production 命名空间的所有 Pod 日志，找出错误模式",
  "agentId": "log-analyzer",
  "model": "anthropic/claude-sonnet-4-5",
  "runTimeoutSeconds": 300,
  "cleanup": "keep"
}

{
  tools: {
    exec: {
      pathPrepend: ["~/bin", "/opt/k8s/bin"],
      notifyOnExit: true,
      host: "sandbox",     // 在容器中运行
      security: "allowlist" // 只允许白名单命令
    }
  }
}

告警（Webhook/定时轮询）
    ↓
OpenClaw 接收告警
    ↓
调用 k8s-troubleshoot Skill
    ↓
执行诊断命令（exec）
    ↓
分析日志和指标（web_fetch + 子智能体）
    ↓
生成诊断报告
    ↓
推送到 Slack/钉钉

# alertmanager.yml
route:
receiver:'openclaw-webhook'

receivers:
-name:'openclaw-webhook'
webhook_configs:
-url:'http://openclaw-gateway:18789/webhook/alert'
    send_resolved:true

openclaw cron add \
  --name "Alert Check" \
  --cron "* * * * *" \
  --session isolated \
  --message "查询 Prometheus 是否有 firing 状态的告警，如果有则执行诊断"

---
name: k8s-troubleshoot
description: Kubernetes 故障诊断 Skill
metadata:
  openclaw:
    requires:
      bins: ["kubectl"]
      env: ["KUBECONFIG"]
---

# K8s 故障诊断流程

收到告警后，按以下步骤执行：

## 1. 获取告警资源信息
根据告警标签定位资源：

    kubectl get <resource-type> <resource-name> -n <namespace> -o yaml

## 2. 检查 Pod 状态

    kubectl get pods -n <namespace> -o wide
    kubectl describe pod <pod-name> -n <namespace>

## 3. 查看日志

    kubectl logs <pod-name> -n <namespace> --tail=100
    # 如果容器重启过，查看上一个容器的日志
    kubectl logs <pod-name> -n <namespace> --previous

## 4. 检查事件

    kubectl get events -n <namespace> --sort-by='.lastTimestamp'

## 5. 查询 Prometheus 指标
使用 web_fetch 工具查询：
- CPU 使用率趋势
- 内存使用率趋势
- 网络流量
- 磁盘 I/O

## 6. 输出格式
诊断报告应包含：
- 告警摘要
- 故障现象
- 根因分析
- 处理建议

{
  "task": "诊断 production 命名空间的 api-server-* 系列 Pod，找出 CPU 飙高的原因",
  "agentId": "ops",
  "model": "anthropic/claude-sonnet-4-5",
  "runTimeoutSeconds": 300,
  "cleanup": "keep"
}

定时任务触发（每周一 9 点）
    ↓
收集集群资源数据（exec + web_fetch）
    ↓
分析使用模式
    ↓
识别优化机会
    ↓
生成报告和建议
    ↓
推送到指定渠道

openclaw cron add \
  --name "K8s Weekly Resource Report" \
  --cron "0 9 * * 1" \
  --tz "Asia/Shanghai" \
  --session isolated \
  --message "分析过去一周的 K8s 资源使用情况，重点关注：

1. 资源利用率低于 20% 的 Pod（可减少 requests/limits）
2. 资源利用率超过 80% 的 Pod（需要增加资源或扩容）
3. 过去 7 天未使用的 Deployment/Service（可删除）
4. PVC 使用率超过 80% 的存储（需要扩容）

输出格式：
- 优化建议清单
- 预计节省/需要增加的资源量
- 优先级排序" \
  --announce \
  --channel slack \
  --to "channel:C1234567890"

# 获取所有 Pod 的资源使用情况
kubectl top pods -A

# 获取 Pod 的资源请求和限制
kubectl get pods -A -o json | jq '.items[] | {name: .metadata.name, namespace: .metadata.namespace, requests: .spec.containers[].resources.requests, limits: .spec.containers[].resources.limits}'

# 查询 Prometheus 获取历史趋势
# 使用 web_fetch 工具调用 Prometheus API

定时任务触发（每周或每月）
    ↓
执行预定义的安全检查项
    ↓
对比安全基线
    ↓
生成审计报告
    ↓
发现高风险问题则告警

---
name: k8s-security-audit
description: Kubernetes 安全审计 Skill
metadata:
  openclaw:
    requires:
      bins: ["kubectl"]
      env: ["KUBECONFIG"]
---

# K8s 安全审计检查项

## 1. RBAC 检查

    # 检查是否有过度授权的 ClusterRoleBinding
    kubectl get clusterrolebindings -o wide

    # 检查所有命名空间的 RoleBinding
    kubectl get rolebindings -A -o wide

重点关注：
- 绑定到 cluster-admin 的 ServiceAccount
- 使用通配符 (*) 的权限规则

## 2. Pod 安全策略检查

    # 检查 Pod 的 securityContext 配置
    kubectl get pods -A -o jsonpath='{ra.items[*]}{.metadata.namespace}/{.metadata.name}{"\t"}{.spec.securityContext.runAsNonRoot}{"\n"}{end}'

重点关注：
- 是否以 root 用户运行
- 是否启用了特权模式
- 是否挂载了宿主机敏感路径

## 3. 网络策略检查

    kubectl get networkpolicies -A

重点关注：
- 命名空间是否有默认拒绝入站/出站策略
- 敏感服务的网络隔离

## 4. 镜像安全检查

    kubectl get pods -A -o jsonpath='{ra.items[*]}{.metadata.namespace}/{.metadata.name}{"\t"}{.spec.containers[*].image}{"\n"}{end}'

重点关注：
- 使用 latest 标签的镜像
- 使用未知来源的镜像
- 镜像是否经过签名

## 输出格式
审计报告应包含：
- 检查项清单及结果
- 发现的问题及风险等级
- 修复建议

openclaw cron add \
  --name "K8s Security Audit" \
  --cron "0 2 1 * *" \
  --tz "Asia/Shanghai" \
  --session isolated \
  --message "执行 K8s 集群安全审计，生成报告并发送到安全团队频道" \
  --announce \
  --channel slack \
  --to "channel:SECURITY_CHANNEL"

定时任务触发（每小时）
    ↓
执行预定义检查项
    ↓
收集健康状态数据
    ↓
发现异常则告警
    ↓
生成健康报告

openclaw cron add \
  --name "K8s Health Patrol" \
  --cron "0 * * * *" \
  --session isolated \
  --message "执行 K8s 集群健康巡检，检查以下项目：

1. 节点状态（Ready/NotReady/SchedulingDisabled）
2. Pod 状态（Running/Pending/CrashLoopBackOff/Error）
3. 资源使用率（CPU/Memory/Disk 超过 80%）
4. PVC 状态（Pending/Lost）
5. 证书有效期（30 天内过期）
6. 组件健康状态（etcd/apiserver/controller/scheduler）

发现异常时立即告警到 ops 频道，正常状态则静默" \
  --announce \
  --channel slack \
  --to "channel:OPS_ALERTS"

# 检查 NotReady 节点
kubectl get nodes --no-headers | awk '$2 != "Ready" {print $0}'

# 检查异常 Pod
kubectl get pods -A --no-headers | awk '$4 !~ /Running|Completed/ {print $0}'

# 检查资源使用率
kubectl top nodes | awk 'NR>1 && $2+0 > 80 {print "CPU High: " $0}'
kubectl top nodes | awk 'NR>1 && $4+0 > 80 {print "Memory High: " $0}'

{
  skills: {
    directories: [
      "~/.openclaw/skills",        // 用户级 Skills
      "/opt/openclaw/skills"        // 系统级 Skills
    ]
  }
}

# 只读权限的 ServiceAccount
apiVersion:v1
kind:ServiceAccount
metadata:
name:openclaw-readonly
namespace:default
---
apiVersion:rbac.authorization.k8s.io/v1
kind:ClusterRole
metadata:
name:openclaw-readonly-role
rules:
-apiGroups:[""]
resources:["pods","nodes","services","events","namespaces"]
verbs:["get","list","watch"]
-apiGroups:["apps"]
resources:["deployments","replicasets"]
verbs:["get","list","watch"]

{
  tools: {
    exec: {
      security: "allowlist",
      allowlist: ["kubectl get", "kubectl describe", "kubectl logs", "kubectl top"]
    }
  }
}

{
  tools: {
    exec: {
      security: "allowlist",
      ask: "on-miss"  // 非白名单命令需要确认
    }
  }
}

{
  tools: {
    exec: {
      security: "allowlist",
      ask: "always"  // 所有操作都需要确认
    }
  }
}