NanoClaw 마스터 가이드: 아키텍처부터 DooD 도커 가상화 설치까지 (1/3)

# 1. 시스템 핵심 보안 디렉토리 스키마 레이아웃 선언
sudo mkdir -p /opt/nanoclaw/{core,storage,ipc,vault}

# 2. UID/GID 1000 전용 서비스 계정에 소유권을 할당하여 호스트 root 권한 장악 위험 무력화
sudo chown -R 1000:1000 /opt/nanoclaw
sudo chmod 700 /opt/nanoclaw/vault  # Vault 보안 민감 정보 저장소는 타 계정 접근을 전면 차단
sudo chmod 770 /opt/nanoclaw/ipc    # 가상 컨테이너 스택과의 고속 통신을 위해 그룹 쓰기 권한만 제한적 개방

# 3. 소스 리포지토리 동기화 및 클린 락파일 프로덕션 인스톨
cd /opt/nanoclaw/core
git clone https://github.com/alexwbaumann/nanoclaw.git .
npm ci --only=production

# 4. TypeScript 소스코드를 프로덕션 구동용 JavaScript 산출물로 변환
npm run build

# 5. 자율 코드가 실행될 격리 전용 마이크로 샌드박스 도커 이미지 레이어 빌드
docker build -t autoclawn/sandbox:latest -f ./docker/Dockerfile.sandbox .

version: '3.8'

services:
  nanoclaw-core:
    image: node:18-alpine
    container_name: nanoclaw-core
    restart: always
    user: "1000:1000" # 호스트 커널 보안 위협 및 컨테이너 탈옥을 방지하기 위한 비루트 계정 고정
    working_dir: /opt/nanoclaw/core
    volumes:
      - /opt/nanoclaw/core:/opt/nanoclaw/core
      - /opt/nanoclaw/storage:/opt/nanoclaw/storage
      - /opt/nanoclaw/ipc:/opt/nanoclaw/ipc
      - /var/run/docker.sock:/var/run/docker.sock # DooD 구현을 위해 호스트 도커 소켓 바인딩 (주의 요망)
    environment:
      - NODE_ENV=production
    env_file:
      - /opt/nanoclaw/core/.env
    command: sh -c "node dist/index.js"
    logging:
      driver: "json-file"
      options:
        max-size: "10m" # 대규모 트래픽 가동 시 디스크 공간 고갈 예방을 위한 10MB 로그 롤링 설정
        max-file: "3"
    networks:
      - nanoclaw-net

networks:
  nanoclaw-net:
    driver: bridge
    internal: false # Anthropic Claude 3.5 Sonnet 외부 공식 API 인프라와의 통신을 위한 WAN 게이트웨이 개방

NODE_ENV=production
STORAGE_PATH=/opt/nanoclaw/storage
IPC_DIR_PATH=/opt/nanoclaw/ipc
DATABASE_URL=file:/opt/nanoclaw/storage/nanoclaw.db

# [Homelab 하드웨어 CPU / 디스크 I/O 자원 방어 프로필 세팅]
MAX_CONCURRENT_CONTAINERS=4
CONTAINER_TIMEOUT_SEC=120
IPC_POLLING_INTERVAL_MS=200

# [하위 샌드박스 Micro-Container 제어 하이퍼바이저 Cgroup 캡 제한]
SANDBOX_MEMORY_LIMIT=512m
SANDBOX_CPU_QUOTA=50000  # 단일 컨테이너가 호스트 CPU 코어 자원의 최대 50%를 넘지 못하도록 원천 제한

[Unit]
Description=NanoClaw Enterprise Agent Core Service
After=network.target docker.service
Requires=docker.service

[Service]
Type=simple
User=1000
Group=1000
WorkingDirectory=/opt/nanoclaw/core
Environment=NODE_ENV=production
ExecStart=/usr/bin/node dist/index.js
Restart=always
RestartSec=5
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target