Skill Kubernetes para OpenClaw

Visão Geral do Skill Kubernetes do OpenClaw

O skill Kubernetes conecta o OpenClaw aos seus clusters Kubernetes via kubectl e um conjunto de utilitários de gerenciamento de clusters. Uma vez instalado, seu agente OpenClaw pode implantar aplicações, solucionar falhas de pods, escalar cargas de trabalho, gerar manifestos e realizar auditorias de segurança — tudo através de comandos em linguagem natural.

O Kubernetes é o padrão da indústria para orquestração de contêineres, mas sua superfície de comandos CLI é vasta. O skill Kubernetes do OpenClaw elimina a necessidade de memorizar centenas de subcomandos e flags do kubectl. Em vez de alternar entre janelas de terminal e documentação, você descreve o que precisa e o agente cuida do resto.

Fluxo de trabalho típico:

1. Peça ao OpenClaw para verificar a saúde do seu cluster de produção.
2. O agente executa kubectl get nodes, kubectl top pods e scripts de verificação de saúde por baixo dos panos.
3. Os resultados são retornados em um resumo legível com recomendações acionáveis — sem necessidade de troca de contexto.

Este skill suporta Kubernetes 1.31+, OpenShift 4.17+ e serviços gerenciados incluindo Amazon EKS, Azure AKS e Google GKE. Ele combina naturalmente com o skill Docker Essentials para um fluxo de trabalho completo de contêineres.

Pré-requisitos para o Skill Kubernetes

Antes de instalar o skill Kubernetes, certifique-se de que você tem:

• OpenClaw instalado e em execução (v1.0+)
• kubectl instalado (v1.20+) — guia de instalação
• Um arquivo kubeconfig válido apontando para pelo menos um cluster
• clawhub CLI instalado para gerenciamento de skills

Verifique sua configuração:

# Verificar versão do OpenClaw
openclaw --version

# Verificar versão do kubectl
kubectl version --client

# Verificar conectividade com o cluster
kubectl cluster-info

# Listar contextos disponíveis
kubectl config get-contexts

Se kubectl cluster-info retornar um erro, certifique-se de que seu kubeconfig está configurado corretamente. Para clusters gerenciados, use a CLI do provedor para gerar credenciais (ex.: aws eks update-kubeconfig, az aks get-credentials ou gcloud container clusters get-credentials).

Como Instalar o Skill Kubernetes

Instale o skill Kubernetes com um único comando:

npx clawhub@latest install kubernetes

Para verificar a instalação:

clawhub list

Você deve ver kubernetes na lista de skills instalados. O skill inclui scripts auxiliares para verificações de saúde do cluster, auditorias de segurança, manutenção de nós e geração de manifestos.

Configuração do Skill Kubernetes

O skill Kubernetes utiliza seu kubeconfig existente para autenticação. Nenhuma chave de API ou token adicional é necessário — se o kubectl funciona na sua máquina, o skill também funciona.

Configuração do Kubeconfig

O skill lê o kubeconfig padrão em ~/.kube/config. Para usar um arquivo diferente ou gerenciar múltiplos clusters:

# Definir um caminho personalizado para o kubeconfig
export KUBECONFIG=/path/to/your/kubeconfig

# Mesclar múltiplos arquivos kubeconfig
export KUBECONFIG=~/.kube/config:~/.kube/staging-config

# Alternar entre contextos
kubectl config use-context production-cluster

Escopo de Namespace

Por segurança, recomendamos limitar o skill a namespaces específicos em vez de conceder acesso ao cluster inteiro:

# Definir um namespace padrão para o contexto atual
kubectl config set-context --current --namespace=my-app

# Verificar o namespace ativo
kubectl config view --minify --output 'jsonpath={..namespace}'

Importante: Nunca conceda privilégios de cluster-admin ao skill em produção. Use roles RBAC limitadas aos namespaces e recursos que você realmente precisa. Consulte a seção Segurança e Melhores Práticas abaixo.

Exemplos de Uso do Skill Kubernetes

1. Diagnosticar Falhas de Pods

Você: "Por que os pods no namespace payments estão travando?"

O agente executa kubectl get pods -n payments, identifica pods em CrashLoopBackOff, obtém logs com kubectl logs e verifica eventos com kubectl describe pod. Ele retorna um diagnóstico como "OOMKilled — o contêiner excedeu seu limite de memória de 256Mi. Recomendamos aumentar para 512Mi."

2. Escalar um Deployment

Você: "Escale o deployment da API para 5 réplicas no staging."

O agente executa kubectl scale deployment api --replicas=5 -n staging, monitora o rollout com kubectl rollout status e confirma quando todos os 5 pods estão em execução e saudáveis.

3. Gerar um Manifesto de Produção

Você: "Crie um manifesto de deployment para um aplicativo Node.js com 3 réplicas, limite de memória de 256Mi, health checks e um serviço ClusterIP."

O agente usa o gerador de manifestos integrado para produzir um arquivo YAML completo com padrões de segurança — usuário não-root, sistema de arquivos somente leitura, limites de recursos, probes de liveness e readiness, e uma definição de Service correspondente.

4. Executar uma Auditoria de Segurança

Você: "Audite o namespace default em busca de problemas de segurança."

O agente executa o script de auditoria de segurança integrado, verificando contêineres executando como root, limites de recursos ausentes, bindings RBAC excessivamente permissivos e pods sem labels de Pod Security Standards. Os resultados são retornados como uma lista priorizada de descobertas com etapas de remediação.

5. Realizar uma Atualização Progressiva

Você: "Atualize o deployment web para a imagem v2.3.1 e acompanhe o rollout."

O agente executa kubectl set image deployment/web web=myregistry/web:v2.3.1 e então monitora kubectl rollout status em tempo real. Se o rollout estagnar ou os pods falharem nas verificações de saúde, ele alerta você e sugere kubectl rollout undo para reverter.

Segurança e Melhores Práticas

Operações no Kubernetes podem afetar cargas de trabalho de produção em execução. Siga estas diretrizes para se manter seguro:

• Use RBAC com privilégio mínimo. Crie ServiceAccounts dedicadas com apenas as permissões necessárias. Evite cluster-admin para operações do dia a dia. A documentação de RBAC do Kubernetes cobre a criação de roles em detalhes.
• Limite o escopo a namespaces. Defina um namespace padrão no contexto do seu kubeconfig para que o skill não possa modificar acidentalmente recursos em outros namespaces.
• Revise antes de aplicar. O OpenClaw solicita confirmação antes de operações destrutivas como excluir pods, escalar para zero ou drenar nós. Sempre revise as alterações propostas.
• Use o modo dry-run. Para geração de manifestos e operações de apply, o skill suporta --dry-run=client para pré-visualizar alterações sem afetar o cluster.
• Rotacione credenciais regularmente. Se estiver usando tokens de service account, defina políticas de expiração. Para clusters gerenciados, utilize credenciais de curta duração do provedor de nuvem.
• Habilite o logging de auditoria. Configure o logging de auditoria do Kubernetes para rastrear todas as chamadas de API feitas através do skill. Consulte a Lista de Verificação de Segurança para orientações gerais de segurança do OpenClaw.

Solução de Erros Comuns

"error: You must be logged in to the server (Unauthorized)"

Suas credenciais do kubeconfig expiraram ou são inválidas.

# Para AWS EKS
aws eks update-kubeconfig --name my-cluster --region us-east-1

# Para Azure AKS
az aks get-credentials --resource-group myRG --name my-cluster

# Para Google GKE
gcloud container clusters get-credentials my-cluster --zone us-central1-a

"error: the server doesn't have a resource type 'deployments'"

O servidor de API pode estar inacessível, ou suas permissões RBAC são insuficientes.

1. Execute kubectl cluster-info para verificar a conectividade.
2. Verifique se sua role possui permissões de get, list e watch no grupo de API apps/v1.
3. Solicite ao administrador do cluster que revise seu RoleBinding.

"pod has unbound immediate PersistentVolumeClaims"

O pod requer um PersistentVolume que não existe ou ainda não foi provisionado.

1. Execute kubectl get pvc -n <namespace> para verificar o status da reivindicação.
2. Verifique se a StorageClass existe: kubectl get storageclass.
3. Para provedores de nuvem, certifique-se de que o driver CSI está instalado e a cota de armazenamento não foi excedida.