Teleport Machine ID tbot Bootstrap（MacOS LaunchAgent）是一个专为 macOS 系统设计的自动化工具，用于在本地建立持久化的 Teleport Machine ID（tbot）身份认证环境。该方案通过结合 LaunchAgent 机制和 `tbot configure identity` 命令，实现用户登录后自动启动并持续维护一个安全的机器身份 bot，从而为 OpenClaw/agent SSH 访问提供稳定、自动化的凭证管理支持。整个流程无需 root 权限，仅需将配置文件部署到用户目录下的 `~/Library/LaunchAgents` 即可运行，极大简化了自动化主机接入 Teleport 集群的运维复杂度。 该工具的核心设计目标是确保机器身份的可靠性和可恢复性。它推荐使用 `bound_keypair` 作为加入方式，这样即使在系统休眠或重启后也能快速重新注册身份，避免因临时状态丢失导致服务中断。同时，配置生成过程完全依赖 `tbot configure identity` 命令完成，禁止手动编写配置文件，以防止因格式错误或参数遗漏引发身份验证失败。此外，所有敏感信息如引导令牌（onboarding token）和注册密钥（registration secret）均不会写入日志或版本控制系统，而是通过交互式输入或安全注入方式获取，保障整体安全性。 整个部署流程包括创建工作目录、生成 tbot 配置文件、创建 LaunchAgent plist 文件、加载服务以及验证身份输出等步骤。最终生成的身份文件（identity）会保存在指定路径下，供后续 `tsh` 客户端调用以实现 SSH 连接。此方案特别适用于需要长期运行且频繁断连的自动化节点，例如 CI/CD 服务器、监控代理或边缘计算设备，能够有效提升远程访问的可用性与管理效率。
核心功能特点
- 基于 LaunchAgent 实现用户级持久化启动，无需 root 权限即可运行
- 自动生成并管理 tbot 配置文件，避免手动配置导致的错误
- 支持 bound_keypair 模式，具备断电/重启后的自动恢复能力
- 集成交互式安全输入机制，保护引导令牌和注册密钥不被泄露
- 生成标准化的身份输出文件，可直接被 tsh 客户端调用进行 SSH 访问
适用场景
该工具最适合应用于需要在 macOS 上长期运行且需定期刷新机器身份的自动化场景。例如，在企业内部构建 CI/CD 流水线时，每个构建节点通常以非持久化方式启动，但接入 Teleport 集群进行安全通信时必须拥有唯一的机器身份。通过使用此方案，可在节点首次登录后自动完成身份注册与更新，确保后续所有构建任务都能无缝访问目标主机，而无需人工干预证书轮换。 另一个典型应用场景是部署高可用的监控或日志收集代理。这类服务往往分布在多台边缘设备上，要求即使遭遇系统休眠、网络波动或意外重启，也能迅速恢复与 Teleport 控制平面的连接。借助 LaunchAgent 的 KeepAlive 机制和 bound_keypair 的容错特性，这些代理能够在断线后自动重连并重新获取有效身份，维持持续的远程管理能力。 此外，对于开发团队而言，若需在本地测试环境中模拟多节点接入行为，也可利用该工具快速搭建多个独立身份实例，配合标签策略（如 openclaw-allowed: “true”）实现细粒度的节点授权控制。这不仅提升了测试环境的灵活性，也强化了生产环境的安全边界，使每台设备的访问权限严格受限于其所属角色与标签组合。