在 Azure 容器化部署 OpenClaw：从零到生产环境实战指南（TaoToken 配置篇）

1. 为什么要在 Azure 上跑 OpenClaw以及 Key 通道为什么先要统一OpenClaw 是一个开源的 AI Agent 平台能挂工具、跑工作流、接多模型适合做自动化任务和内部助手。把它容器化部署到 Azure Container Apps 或 AKS好处很直接弹性伸缩、内置负载均衡、和 GitHub Actions 打通、按需付费。但真正从零走到生产环境卡人的往往不是容器本身而是模型调用这一层——Key 散落在环境变量、本地配置文件、CI 密钥里换一个模型就要改一遍代码容器重启后配置漂移排查起来非常痛苦。这篇聚焦 Azure 容器化部署 OpenClaw 的生产落地核心是把模型调用统一收敛到 TaoToken 这条 API 通道上交付可复制的config.toml、settings.json骨架以及 CC Switch / Cline 的配置片段并给出容器内验证连通性和报错排查的具体动作。适合已经在 Azure 上有资源组、准备把 OpenClaw 从本地搬到云上的开发者也适合正在做多模型接入、想让配置可版本化的团队。读完之后你应该能拿到一套能直接跑起来的配置骨架而不是停留在“架构图很好看”的阶段。先说清楚一个前提TaoToken 在这里扮演的是统一 Key / API 通道的角色OpenClaw 通过它去访问背后的模型服务。官网入口是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 基址是 https://taotoken.net/api 。容器里所有模型请求都指向这个基址Key 只在一处维护这样容器镜像本身不含任何密钥配置也能跟着代码走。2. TaoToken 前置准备拿到 Key 并确认通道可用在动 Azure 之前先把通道这层跑通否则后面容器报错你分不清是网络问题还是 Key 问题。第一步是拿到 API Key进入控制台的 API Keys 页面创建https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 。创建时建议按环境命名比如openclaw-prod、openclaw-dev这样在 Azure 里做密钥轮换时不会搞混。拿到 Key 之后先在本地用 curl 验证一次确认基址和鉴权头都对curl -s https://taotoken.net/api/v1/models \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json | head -c 500如果返回模型列表说明通道正常。这一步很关键因为 Azure 容器里的网络出口和本地不一样本地通了不代表容器里通但本地不通就一定有问题。想先在网页上直观试一下模型对话可以走 https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodelsutm_campaignrewrite 确认你要用的模型在列表里。接下来是选型。如果你只是把 OpenClaw 当内部助手按量调用即可如果要做长期编码、Agent 常驻任务建议看 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 它的计费方式更适合高频、长会话场景。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 配置字段有疑问时以文档为准。注意Key 不要写进 Dockerfile也不要提交到 Git。Azure 侧用 Container Apps 的 secrets 或 Key Vault 注入本地用.env并加进.gitignore。3. 可复制的配置骨架config.toml 与 settings.jsonOpenClaw 的配置分两层config.toml管平台级参数模型通道、端口、缓存settings.json管 Agent 行为工具、超时、重试。下面这套骨架是我在 Azure Container Apps 上跑通的最小可用版本你可以直接抄。先看config.toml重点是[llm]段全部指向 TaoToken# config.toml [server] host 0.0.0.0 port 3000 [llm] provider openai-compatible base_url https://taotoken.net/api api_key ${TAOTOKEN_API_KEY} default_model claude-sonnet-4-5 timeout_seconds 120 max_retries 3 [llm.models] fast gpt-4o-mini balanced claude-sonnet-4-5 reasoning claude-opus-4-1 [cache] backend redis url ${REDIS_URL} ttl_seconds 3600 [logging] level info format json这里api_key用${TAOTOKEN_API_KEY}占位运行时从环境变量注入容器镜像里不落盘。base_url固定为https://taotoken.net/api不要带尾斜杠否则部分客户端会拼出双斜杠导致 404。再看settings.json控制 Agent 的工具和重试策略{ agent: { name: openclaw-prod, max_iterations: 12, tool_timeout_seconds: 60 }, tools: { http: { enabled: true, allow_domains: [taotoken.net] }, shell: { enabled: false } }, retry: { on_status: [429, 500, 502, 503], backoff: exponential, max_attempts: 4 }, telemetry: { enabled: true, endpoint: /metrics } }allow_domains里加上taotoken.net避免 Agent 调工具时被出站策略拦掉。shell工具在生产环境建议关掉容器里执行任意命令风险太高。如果你用 CC Switch 做多环境切换配置片段长这样{ profiles: { prod: { base_url: https://taotoken.net/api, api_key_env: TAOTOKEN_API_KEY, model: claude-sonnet-4-5 }, dev: { base_url: https://taotoken.net/api, api_key_env: TAOTOKEN_API_KEY_DEV, model: gpt-4o-mini } } }Cline 这类编辑器插件的配置更简单在设置里填 Base URL 和 Key 即可{ cline.apiProvider: openai, cline.openAiBaseUrl: https://taotoken.net/api, cline.openAiApiKey: ${env:TAOTOKEN_API_KEY}, cline.model: claude-sonnet-4-5 }提示所有配置里的模型名要和 TaoToken 模型列表里的一致写错模型名通常返回 404 或 model_not_found而不是 401排查时别只盯着 Key。4. 容器化与 Azure 部署把配置注入进去配置骨架有了接下来是把它塞进容器并部署到 Azure Container Apps。Dockerfile 保持精简配置通过挂载或环境变量注入FROM node:20-alpine WORKDIR /app COPY package*.json ./ RUN npm ci --onlyproduction COPY . . ENV NODE_ENVproduction ENV OPENCLAW_PORT3000 EXPOSE 3000 CMD [node, dist/index.js]构建并推送到 ACRaz acr build \ --registry openclawregistry \ --image openclaw:v1.0 .部署时把 Key 作为 secret 注入而不是明文环境变量az containerapp create \ --name openclaw-agent \ --resource-group openclaw-rg \ --environment openclaw-env \ --image openclawregistry.azurecr.io/openclaw:v1.0 \ --target-port 3000 \ --ingress external \ --min-replicas 1 \ --max-replicas 3 \ --cpu 1.0 \ --memory 2.0Gi \ --secrets taotoken-key$TAOTOKEN_API_KEY \ --env-vars \ TAOTOKEN_API_KEYsecretref:taotoken-key \ REDIS_URL$REDIS_URL注意--env-vars里用secretref:引用这样az containerapp show不会把 Key 打出来。min-replicas 1是为了避免冷启动生产环境不建议设 0。5. 容器内验证连通性与成功结果部署完别急着接业务先进容器验证通道。用 exec 进到实例里az containerapp exec \ --name openclaw-agent \ --resource-group openclaw-rg \ --command sh进去之后先看环境变量有没有注入成功echo $TAOTOKEN_API_KEY | head -c 8再直接 curl 一次 TaoToken确认容器出站正常curl -s https://taotoken.net/api/v1/models \ -H Authorization: Bearer $TAOTOKEN_API_KEY | head -c 300返回模型列表就说明通道通了。接着打 OpenClaw 自己的健康检查curl -s http://localhost:3000/health正常返回{status:ok}。最后发一个真实推理请求验证端到端curl -s http://localhost:3000/v1/chat/completions \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-5, messages: [{role: user, content: ping}] } | head -c 400如果这一步返回了模型回复说明从 Azure 容器到 TaoToken 再到模型的整条链路是通的。实测下来最容易出问题的是出站网络策略和 Key 注入前者表现为超时后者表现为 401两者现象完全不同按这个顺序排查效率最高。6. 本篇常见报错排查401 UnauthorizedKey 没注入或注入成了字面量secretref:taotoken-key。检查az containerapp show里的 env 配置确认 secret 名称和引用一致。也可能是 Key 被撤销去控制台重新生成。404 model_not_found模型名写错或者base_url带了尾斜杠拼成了/api//v1。把base_url改成https://taotoken.net/api模型名对照模型列表核对。连接超时 / ETIMEDOUT容器出站被拦。Container Apps 默认出站是放开的但如果你配了 VNet 集成或 NSG需要放行到taotoken.net的 443。先在容器里 curl 验证能通就是应用层问题。429 Too Many Requests触发限流。settings.json里的retry.on_status已经包含 429确认max_attempts生效。如果是持续 429考虑升级到 Coding Plan 或降低并发。Redis 连接失败REDIS_URL没注入或格式不对。Azure Cache for Redis 的连接串要带密码和ssltrue容器里用redis-cli -u $REDIS_URL ping验证。容器启动即退出多半是config.toml解析失败。把日志级别调到 debug看启动日志里的第一行报错通常是 TOML 语法或占位符没被替换。排查时记住一个顺序先容器内 curl TaoToken再 curl 本地 health最后打业务接口。这样能把问题定位在网络层、应用层还是配置层不会一上来就瞎改。7. 下一步把 Key 通道固化进你的部署流程走到这里你已经有一套能在 Azure 上跑的 OpenClaw 配置骨架了。接下来建议做两件事一是把config.toml和settings.json纳入 Git 版本管理Key 只留占位符二是在 CI 里加一步容器内连通性检查部署后自动 curl 一次 TaoToken失败就回滚。这样每次发版都能确认通道是活的而不是等用户报错才发现。如果你还在本地调试阶段可以先用模型对话页面确认模型可用性https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodelsutm_campaignrewrite 。准备做长期编码或 Agent 常驻任务看 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 。接入字段有疑问查文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。Key 管理在控制台https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 。API 基址统一用 https://taotoken.net/api 不要带尾斜杠。