2026-05-13 OpenClaw auf gemietetem headless Mac mini: SSH-Erststart-Checkliste vor launchd, MCP und nächtlichen Agenten

Teams, die bei ProxyMac einen Apple-Silicon-Mac mini mieten und Knoten in Hongkong, Japan, Südkorea, Singapur und den USA betreiben, loggen sich oft zuerst per SSH ein—ohne Finder oder Bildschirmfreigabe—und wollen OpenClaw direkt unter launchd betreiben. Der teuerste Fehler ist das Auslassen derErststart-Preflights: MCP-Timeouts werden dem Netz zugeschrieben, währendSpeicherdruck ignoriert wird; „fehlender API-Key“ gilt als Produktfehler, obwohl dieNicht-Login-Shell keine Variablen erbt. Dieser Artikel liefert (1) Zielgruppe und Fertigkeitsdefinition, (2) drei quantifizierbare Signale vor der Installation, (3) eine fünfspaltigePreflight-Matrix, (4) einsiebenstufiges SSH-Runbook für Confluence und (5) eine Symptom→Abhilfe-Tabelle mit Links zu Installation und Rollout, MCP-Umfeld und launchd, Gateway-Token JSON und launchctl-Wiederherstellung. Für macOS-Dialoge manuell: VNC. Spezifikationen: Preise. Routing: Hilfe.

Zielgruppe und Definition von „fertig“

Gedacht für Plattformengineering und Automatisierungsverantwortliche, die den mini als dauerhafte OpenClaw-Gateway-Maschine mit MCP-Tools und JSONL-Observability nutzen. „Fertig“ heißt: Nach Kaltstart innerhalb von 90 Sekunden per SSH wieder eingeloggt, LaunchAgent ohne manuell gehaltene ssh-Sitzung gestartet, undstrukturierte Logs belegen erfolgreiche Modell- und Tool-Healthchecks. Wenn nach jedem Neustart noch export nötig ist, ist es nicht fertig—das ist technische Schuld, die bei parallelen Agenten explodiert.

• Zahlenziele: APFS-Volume für JSONL und Modellcache mindestens 25 % frei; nur kurz während geplanter Wartung unter 15 %.
• Latenzrealität: RTT vom Admin-Laptop zur Region dokumentieren; wenn die Control-Plane-API auf einem anderen Kontinent liegt, 120–220 ms Roundtrip für MCP-Timeouts mental einplanen.
• Parallelitätsbudget: Spitzenlast mit vier gleichzeitigen MCP-Handshakes für Dateideskriptoren modellieren, bevor „das Netz stimmt“ gesagt wird.

Drei Signale, bevor ein Installationsskript läuft

Zuerst df -h und diskutil apfs listSnapshots / festhalten—OpenClaw-Append-Logs und Migrations-Snapshots auf APFS kollidieren leicht. Dann sysctl hw.optional.arm64 und uname -m ausgeben und arm64 Apple Silicon bestätigen (Rosetta/Node-Mix vermeiden). Drittens ssh host 'command -v openclaw' mit ssh -t host zsh -lic 'command -v openclaw' vergleichen; bei Abweichung drehen Sie im gleichen launchd-Kreis wie im MCP-Umfeld-Artikel. Die drei Ausgaben ins Ticket—die nächste Schicht erbt Fakten statt Mundpropaganda.

Preflight-Matrix: Artefakt, Eigentümer, Prüfung, Rollback, Risiko beim Überspringen

Artefakt	Konto	Prüfung	Rollback	Risiko
Arbeitsverzeichnis	gleiche UID wie LaunchAgent	ls -le ACL-Audit	Archivieren, dann install -d -o	Stille Halb-Schreibvorgänge bei Tool-Setup
JSONL-Pfad	Rollenkonto z. B. _openclaw	Quota + Rotation	Backup, truncieren, Rotation straffen	Nachtschreibspitzen füllen das Volume
plist ProgramArguments	LaunchAgent-Domain ohne root	plutil -lint + git diff	launchctl bootout, plist zurück	Boot-Schleifen fressen CPU-Kontingent
Provider-Secrets	Schlüsselbund oder Datei mode 600	nicht-interaktiver Probe mit Timeout	Keys rotieren, Cache leeren	Cross-Tenant-Leaks im Shared Lab
MCP-Service-Liste	Repo mit fester SHA	Checksumme + Teil von openclaw doctor	Checkout vorherige SHA	Schema-Drift bricht Agenten ab

Siebenstufiges SSH-Runbook (Confluence-tauglich)

1. Speicher-Baseline: Unter 25 % frei keine Installation; erst aufräumen oder SKU erhöhen—Preise.
2. Zeit: NTP gesund; date -u plus Regionsabsicht (HK / JP / KR / SG / US) neben die Config für Log-Korrelation.
3. OpenClaw installieren/upgraden: laut Installationsleitfaden, aber erst nach bestandenem PATH-Snapshot.
4. PATH in plist fixieren: /opt/homebrew/bin und benötigte Runtime-Manager-Pfade—keine stillschweigende Vererbung.
5. Doppel-Smoke: Gateway per SSH im Vordergrund, dann identische Args mit launchctl kickstart; JSONL-Starttoken-Zeilen vergleichen.
6. Diagnose anbinden: per Logging-Leitfaden JSONL aktivieren und Rotation prüfen; innerhalb von 48 Stunden kein unbegrenztes Wachstum.
7. Übergabe: Neustart-Verantwortliche und Alarmstufen; Link zur Recovery-Anleitung; plist-Hash im Ticket.

Symptom → wahrscheinliche Ursache → erste Abhilfe (nur SSH)

Symptom	Ursache	Abhilfe
MCP-Exit 127	PATH unter launchd gekürzt	Absolute Pfade oder dünnes Wrapper-Skript in plist
Gateway-Leerlauf-CPU 95 %	enge Poll-Schleife oder blockierendes Log-Schreiben	JSONL-Volume-Latenz prüfen, Rotation laut Logging-Guide
Auth-Fehler nur nach Reboot	Token nur in shell profile	In plist EnvironmentVariables oder Schlüsselbund—Token-Artikel
Handshake hängt ~40 s	DNS oder Rate-Limit täuscht Paketverlust vor	Parallelität senken, Auflösungstests direkt auf dem mini

Von SSH zu VNC (und selten halten)

TCC-Fälle, die mit Profilen, Rechten und plist lösbar sind, bleiben auf SSH. VNC, wenn „Bildschirmaufnahme“ geklickt werden muss, GPU-UI-Automation sichtbar sein muss oder Designer JSONL nicht lesen. Kurze Sessions: Farbtiefe reduzieren, große scp-Transfers pausieren, Latenz-Tuning für Mausereignisse. Viele OpenClaw-Cluster in HK / JP / KR / SG / US brauchen pro Hardwaregeneration nur einmal VNC, nicht wöchentlich.

FAQ

Ist Homebrew Pflicht? Nein—wenn Docs es still voraussetzen, PATH-Annahmen in die Matrix schreiben, sonst wiederholen sich die gleichen Incidents.

Immer persönliches Admin-Konto? Demo ja; Produktion: Rollenkonten, eingeschränktes sudo, klare Log-Eigentümer.

Unternehmens-HTTP-Proxy? Wenn SSH ProxyCommand nutzt, kann MCP-Egress ähnlich sein—erst Netzwerkartikel angleichen, dann OpenClaw beschuldigen.

Warum ProxyMac Mac mini für headless OpenClaw passt

Gemietete Mac mini M4 kombinieren natives macOS mit vorhersagbarer Single-Tenant-CPU—ideal, wenn OpenClaw nur Apple-Stack-Tools orchestriert und Ops weiter auf Linux-Notebooks bleibt. Gateway in HK / JP / KR / SG / US bringt die Control Plane näher an API-Regionen ohne fünf eigene Rechenzentrumsracks. Nach der Checkliste bleibt das gleiche Metall-Ökonomiemodell wie in CI: Preise vergleichen, Notfall-SSH über Hilfe üben, VNC in der Tasche, nicht im kritischen Pfad.