PICK인바운드를 공개망에 노출하지 않는 단일 진입점
릴리즈 워크플로가 태깅되면 repository_dispatch가 OpenClaw Webhook으로 떨어지고, TaskFlow가 원격 Mac 안에서 자동화를 분기합니다. 이 한 흐름을 다섯 리전에서 동일하게 재현해야 운영 비용이 안정됩니다.
핵심은 입구 단일화입니다. TaskFlow 실행기는 127.0.0.1에 두고, 외부는 Gateway나 SSH·매니지드 엣지로만 받습니다. 첫 설치·loopback 바인딩 순서는 v2026.5.x 런북을 그대로 재사용하세요. 더 읽기: v2026.5.x 설치·doctor·sharp·Gateway SSH·로컬 바인딩
인바운드GitHub Actions → OpenClaw, 공개 구멍 없이 트리거
전용 워크플로에서 브랜치·커밋·아티팩트 URL·correlation id만 담은 최소 JSON을 발사하세요. actions/github-script로 Gateway TLS URL을 호출하고, OIDC나 단명 PAT로 충분하면 저장소 시크릿을 TaskFlow env로 직접 흘리지 않습니다.
워크플로 재시도는 백오프를 강제하고, OpenClaw 쪽도 correlation id로 dedup하세요. 같은 서명 잡이 12번 도는 사고는 대부분 webhook 폭주에서 옵니다. 같은 좌석에 Xcode·fastlane이 겹친다면 동기 스택 런북을 함께 보세요. 더 읽기: OpenClaw·Xcode/fastlane·Gateway·Node 22·Ruby
Gateway토큰·시계·TaskFlow 핸드오프
Gateway는 리포지토리별 시크릿을 릴리즈 캘린더에 맞춰 회전하고, TaskFlow에서 정의한 Idempotency-Key가 빠진 요청을 거부합니다. 검증된 subject와 정규화된 payload 해시를 함께 로깅해야 사후 분석이 “녹색이었던 것 같다”에 의존하지 않습니다.
TaskFlow는 webhook 타입을 경계가 명확한 그래프로 매핑하세요: 아티팩트 fetch → 격리 디렉터리 unpack → notarytool/fastlane 레인 → 두 번째 서명 채널로 결과 업로드. 같은 시트에 OpenClaw 운영 데몬이 상주한다면 install·doctor·exec 흐름을 함께 점검합니다. 더 읽기: OpenClaw 원격 Mac 상선·install·Node·doctor·Gateway·exec
SSHActions는 보이는데 TaskFlow가 못 받는 L1~L3
L1(초): lsof -nP -iTCP로 포워드 확인, ssh -L 세션 재시작, 러너의 로컬 포트와 워크플로 시크릿 URL이 같은지 검증. 오래된 포워드가 “webhook accepted, job idle” 사고의 절반입니다.
L2(분): 머지 이후 Gateway·TaskFlow 베이스 경로 diff. OpenClaw 업그레이드 후 unix 소켓·HTTP 리스너가 여전히 loopback에 묶여 있는지 확인.
L3(시간): 0.0.0.0 바인딩을 넓히는 대신 릴리즈와 외주 회신 레인을 저사양 두 대로 분리합니다. 정치적 경합은 코어를 늘려도 사라지지 않습니다.
5리전 동질 운영의 전제는 단일 진입점
같은 명령·같은 포트·같은 경로—리전을 바꿔도 재현 가능합니다.
아티팩트저사양 M4+1TB vs M4 Pro+2TB
구조화된 감사 로그에 .xcresult 번들과 notary 트랜스크립트가 zip으로 쌓이면 256GB는 도커 레이어보다 빨리 차오릅니다. 저사양 M4에는 7일을 넘기는 라인이 두 개 이상이면 즉시 1TB를 붙이고, TaskFlow 워크스페이스·로그 루트를 그 볼륨으로 명시 이전하세요. 부팅 스크립트가 부트 디스크로 슬그머니 돌아가지 않게.
릴리즈와 외주 업로드가 병렬로 경합하면 M4 Pro + 2TB를 예약하세요. 메모리는 fan-out을 부드럽게 하지만, 디스크가 컴플라이언스 보존 기간을 결정합니다.
| 워크로드 신호 | 저사양 M4 + 1TB | M4 Pro + 2TB | 추천 |
|---|---|---|---|
| 단일 릴리즈 트레인, 14일 보존 | 충분 ✓ | CPU 바운드 아니면 과잉 | M4 + 1TB |
| 외주 야간 업로드 + 내부 Actions | 월말 위험 | 여유 ✓ | M4 Pro + 2TB |
| 불변 감사 보존(90일+) | 외부 오브젝트 스토리지 필요 | 로컬 스테이징+아카이브 ✓ | M4 Pro + 2TB |
✓는 해당 행에서 가성비가 더 좋은 조합입니다.
레인릴리즈 vs 외주 회신, 둘은 같은 좌석을 쓰지 않습니다
외주 SSH 계정은 다른 Unix 사용자로 두고 격리 트리만 닿는 ACL을 부여하세요. Actions webhook은 Gateway 검증 후 권한 있는 TaskFlow 사용자로만 떨어뜨려, 사람의 셸 히스토리와 자동화 시크릿이 섞이지 않게합니다.
짧은 매트릭스를 게시하세요: 누가 webhook 시크릿을 회전시키는가, 정본 서명 키는 어느 리전이 보유하는가, 아티팩트는 콜드 스토리지로 흐르기 전 며칠을 사는가. 도시마다 TTL을 즉흥으로 쓰면 5리전 팀은 무너집니다.
하드웨어이 자동화 스택에 macOS·Mac mini가 어울리는 이유
macOS는 launchd·POSIX 경로·네이티브 notarytool을 OpenClaw 옆에 둘 수 있어, Actions 트리거가 Xcode 레인이 도는 같은 머신에 떨어질 때 가장 자연스럽습니다. Apple Silicon Mac mini는 유휴 전력이 한 자릿수 와트로 webhook 버스트에 항상 깨어 있고, Gatekeeper·SIP·FileVault가 일반 Windows 점프 박스 대비 무인 호스트의 멀웨어 표면을 뚜렷이 줄입니다.
통합 메모리는 TaskFlow와 서명 도구를 병렬에서 부드럽게 잡아주고, 컴팩트 섀시는 다리전 임대를 경제적으로 만듭니다. 이 인바운드 Actions → OpenClaw 루프를 조용하고 신뢰할 수 있는 하드웨어로 굴리고 싶다면 Mac mini M4가 2026년의 합리적 출발점—지금 구성을 맞춰 캐퍼시티를 런북에 정렬하세요.
마무리한 줄 요약
Webhook은 API처럼 다루고, Gateway에서 검증·TaskFlow에서 dedup·loopback 유지하세요. 코어를 사기 전에 SSH 터널 L1~L3를 오르고, 감사·아티팩트 보존을 기준으로 저사양 M4+1TB 또는 M4 Pro+2TB를 고르세요. SG·도쿄·서울·홍콩·미동부가 같은 시크릿 회전·터널 지도·보존 정책을 공유할 때만 Actions가 성공하면서 Mac이 디스크가 차서 멈추는 사고를 막습니다.