Olivares で Claude Code を実行する（co-deployment）

これは Anthropic ファーストのストーリーの Operate（運用） の半分です。Claude Code を単に 観測（observe） し ガバナンス（govern） するだけでなく、それを 指揮（conduct） します。コントロールプレーンは実際の claude プロセスを起動し、その I/O をガバナンス対象のストリームにブリッジし、すべてのライフサイクル遷移を監査台帳（audit ledger）にアンカーし、そして破棄します。共有ワークスペース上で、API/CLI（そして後にはポータル）から、SSH なしで 行います。このページは両方の半分を 1 台の Linux ホストに、4 つのトポロジーで、デフォルトでセキュアに co-deploy します。

協調的な観測（cooperative observe） の経路（OTLP テレメトリ → アクセスマップ）については Claude Code を接続するを、ガバナンス の経路（PEP としての PreToolUse フック）については govern-claude-code の例を参照してください。このページは co-deployment です。2 つのランタイムを一緒に動かすことを扱います。

始める前の 2 つの原則

オプトイン。 ベースの Olivares イメージは distroless であり、claude を含みません。 Operate-Claude-Code レイヤーは 別個の アーティファクトです — 結合イメージ（Dockerfile.agentops）またはネイティブインストールのアドオンです。ガバナンス対象の Claude Code を実行しない場合、それを pull することは決してなく、その追加のサーフェスがコントロールプレーンに触れることもありません。
公式ソースから、再配布は決してしない。 Anthropic の利用規約は claude バイナリの再配布を許可しないため、ビルド時/初回実行時に Anthropic の公式・GPG 署名済みソース からインストールします（署名済みの apt/dnf/apk リポジトリ）。バージョンは固定（pin）し、自動アップデーターは無効化します。サードパーティのバイナリは一切同梱しません。独自の claude を 持ち込み（BYO）、エンジンにそれを指すこともできます。

4 つのトポロジー一覧

#	Olivares	Claude Code	エンジンがどう指揮するか	ステータス
1	Docker	Docker	同一コンテナ（結合イメージ）、procRunner の子プロセス	推奨（2 と同じガバナンス経路）
2	ネイティブ	ネイティブ	同一ホスト（systemd）、procRunner の子プロセス	推奨、エンドツーエンドのスモークテスト済み
3	Docker	ネイティブ（ホスト）	クロス名前空間 — そのままではガバナンス不可	代わりに co-locate（下記参照）
4	ネイティブ	Docker（セッションごと）	Docker API 経由のセッションごとのコンテナ	フォローアップ（文書化済み）

2 つの co-located（同居） トポロジー（1、2）がセキュアなデフォルトです。トポロジー 2（ネイティブ）は scripts/smoke-agentops.sh によってエンドツーエンドでテストされています。トポロジー 1 は同じガバナンス対象 procRunner 経路を再利用します（結合イメージのビルド/実行はまだ自動テストに配線されていません）。トポロジー 3 と 4 は、ガバナンスする側とされる側を 別々の コンテナに置こうとします。その境界を越えて stdio をブリッジするには Docker API へのアクセスが必要です（エンジンが意図的にデフォルトでは 取得しない 特権です）。それらの正直な経路は混在トポロジーで詳述します。

トポロジー 1 — 両方とも Docker（推奨）

1 つのハードニング済みコンテナがエンジンと claude を実行し、ワークスペースボリュームが共有作業ディレクトリになります。ループバックのみ、非 root、読み取り専用のルートファイルシステム — ベースの compose と同一のポスチャに、指揮されるランタイムが加わります。

結合イメージをビルドする

claude は Anthropic の 署名済み apt リポジトリ からビルド時にインストールされ、署名鍵のフィンガープリントが固定（31DD DE24 DDFA B679 F42D 7BD2 BAA9 29FF 1A7E CACE）され、自動更新は無効化されます。エンジンのベースをダイジェストで固定し、まず検証します。

# verify the engine image you build FROM (it is cosign-signed)
cosign verify docker.io/olivaresai/olivares:26.8.0 \
  --certificate-identity-regexp '^https://github\.com/olivaresai/olivares/\.github/workflows/release\.yml@refs/tags/v[0-9]+\.[0-9]+\.[0-9]+$' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

docker build -f Dockerfile.agentops \
  --build-arg OLIVARES_IMAGE=docker.io/olivaresai/olivares@sha256:<digest> \
  --build-arg CLAUDE_CHANNEL=stable \
  -t olivares-agentops:26.8.0 .

代わりに --build-arg CLAUDE_INSTALL=byo で独自の claude を持ち込めます（イメージは claude なしで出荷されます。実行時に自分のものをマウントし、OLIVARES_SESSION_RUNTIME_CLAUDE_BIN を設定します）。

起動する

export OLIVARES_AGENTOPS_IMAGE=olivares-agentops:26.8.0
docker compose -f deploy/compose/docker-compose.yml \
               -f deploy/compose/docker-compose.agentops.yml up -d

オーバーライドは Operate に必要なものだけを変更します。結合イメージ、4 つの書き込み可能ボリューム（エンジンデータ、ワークスペース、claude の ~/.claude ホーム、短命の推論トークン）、そしてセッションランタイムの環境変数です。それ以外のすべて — 127.0.0.1 バインドのポート、uid 65532、 read_only ルート、cap_drop: ALL、no-new-privileges — はベースから継承されます。

クレデンシャルソースは 拒否クローズド（deny-closed） です。stream-json の起動は OLIVARES_SESSION_RUNTIME_TOKEN_FILE（/run/olivares/session-token、olivares-runtime ボリューム上）から 短命の ベアラートークンを読み取り、それを破棄します。保存されるのは機密でない credential_id だけです。 WIF/SPIFFE/OIDC のリフレッシャーをそのボリュームに向けてください。トークンが存在するまで、stream-json の起動は クローズドで失敗 します。エンジンは依然として動作し、その他の点ではガバナンス可能です。認証の配線はあなたの意図的なステップです。（プロセス内のライブなトークン交換は別途配線されます。）

トポロジー 2 — 両方ともネイティブ（Docker なし）

エンジンと claude がホスト上にあり、systemd がエンジンを実行し、それが claude を指揮します。ワークスペースは /var/lib/olivares/workspaces に置かれます。

1 つのコマンド

curl -fsSL https://raw.githubusercontent.com/olivaresai/olivares/main/scripts/install-agentops.sh | sh

これはネイティブトポロジーを自動検出し、検証済み のエンジンバイナリ（cosign ゲート付きの install.sh）をインストールし、署名済みの apt/dnf/apk リポジトリから claude をインストールし（鍵フィンガープリント検証付き — またはスキップするには OLIVARES_CLAUDE_INSTALL=byo）、ログイン不可の olivares サービスユーザーとワークスペースディレクトリを作成し、ハードニング済みの systemd オーバーライドと環境変数の例を配置します。ガバナンスプレーンを自動起動は しません — 1 つを実行するのはあなたの明示的な判断です。

インストーラーが配線するもの（とその理由）

packaging/systemd/olivares.service.d/agentops.conf — 指揮される claude に ~/.claude 用の書き込み可能な HOME を与えるドロップイン（/var/lib/olivares 配下に保持されるので、 ProtectHome=true は依然として実ユーザーを保護します）。ワークスペースディレクトリの存在を保証し、サンドボックスのプロパティをちょうど 1 つ だけ解除します。MemoryDenyWriteExecute です（claude ランタイムは JIT コンパイルを行い、W→X メモリを必要とします）。ベースユニットの他のハードニングディレクティブはすべて有効なままです。
/etc/olivares/agentops.env — セッションランタイムの設定（トークンファイル、TTL、任意のゲートウェイベース URL、任意の BYO claude パス）。

その後、意図的に次を行います。

sudo nano /etc/olivares/agentops.env     # wire the short-lived inference token (refresher)
sudo systemctl enable --now olivares     # loopback-only by default

最初のガバナンス対象セッションを起動する

どちらの co-located トポロジーでも同じ手順です。CLI を認証し、共有ワークスペースを登録し、起動します。

export OLIVARES_SERVER_URL=https://127.0.0.1:8443
export OLIVARES_TOKEN=<your-api-token>
export OLIVARES_TENANT=<your-tenant-id>

# 1) register the shared workspace (the session's working dir; jailed file API on top)
olivares agent workspace add /var/lib/olivares/workspaces/project-x --name project-x --mode rw

# 2) launch a governed session over the stream-json transport
olivares agent session create --transport stream-json \
  --permission-mode acceptEdits --model opus \
  --workspace <workspace-ref> --isolation native

# 3) attach to its live, bridged I/O (lossless replay from a cursor); send input; stop
olivares agent session attach <run-ref>
olivares agent session input  <run-ref> --line '{"type":"user","message":{"role":"user","content":"…"}}'
olivares agent session stop   <run-ref>

すべての遷移（created → launched → … → stopped）は 署名済み監査台帳にアンカー されます（olivares agent session events <run-ref>）。ワークスペースのファイル API （olivares agent workspace files|get|put|…）は jail され、監査されます。これらすべての再現性契約は scripts/smoke-agentops.sh であり、ハーメチックな偽の claude に対してネイティブの co-deployment を起動し、セッションがエンドツーエンドでガバナンス可能であることをアサートします。

混在トポロジー（3 と 4）

これらはガバナンスする側とされる側をコンテナ境界で分割します。それが何を犠牲にするかを冷静に認識してください。

トポロジー 3 — Olivares が Docker、Claude がホスト上

クリーンなガバナンス経路は存在しません。コンテナ化されたエンジンは、ホストの名前空間にあるプロセスの stdio を所有できず、ガバナンス対象のトランスポートは stdio です。ホスト上の claude に到達するには、ホストの PID 名前空間とマウントをエンジンコンテナに共有する必要があります — エンジンを封じ込める意義を打ち消す、大規模で意図的な脱分離です。代わりに co-locate してください。両方を結合イメージで実行する（それが まさに トポロジー 1 です）か、両方をネイティブで実行する（トポロジー 2）かです。これは取り繕うのではなく明示する、実在する制限です。

トポロジー 4 — Olivares ネイティブ、Claude はセッションごとのコンテナ

これは セッションごとの新鮮なコンテナ分離 の自然な居場所です。各セッションは真新しいハードニング済みの claude コンテナ（ワークスペースをバインドマウント、読み取り専用ルート、非 root、 cap-drop）を得て、エンジンが Docker API を通じて作成し破棄し、stdio は Docker の attach/hijack 経由でブリッジされます。データモデルのシームはすでにそれを モデル化 しています（--isolation container は有効な値であり、それが消費するエグゼキューターのマウントプリミティブはすでに出荷されています）— ただしその背後のランナーはまだ配線されていないので、ネイティブランナーは今日その値を拒否します（上記の注を参照）。

これは文書化されたフォローアップであり、本リリースには出荷されていません。 兄弟コンテナを駆動することは、エンジンに Docker API アクセスを与えることを意味します（理想的には最小権限のソケットプロキシ経由）— ソケットフリーの結合イメージを優先して本リリースが意図的に避けている信頼サーフェスです。このトポロジーを選ぶことは、その Docker API 付与 を代償として より強いガバナンス側/される側の分離を選ぶことです。これは既存の isolation=container シームの背後に到着します。それまでは、セキュアなデフォルトは co-location です。

セキュリティポスチャ（全トポロジー）

デフォルトでループバック。 ホストポートは 127.0.0.1 のみで公開されます。コンテナ内ではエンジンはコンテナ 内部の 0.0.0.0 でリッスンするため、ホストのポートマッピングが露出境界 です。自前の TLS 終端認証プロキシなしに、非ループバックのホストアドレスで公開しないでください。ネイティブ/systemd のデフォルトバインドはループバックです。意図的に公開してください。
非 root、最小権限。 uid/gid 65532、読み取り専用ルートファイルシステム、cap_drop: ALL、 no-new-privileges（Docker）/ 文書化された 1 つの W^X 緩和を除く完全な Protect*/Restrict* セット（systemd）。
最小データ、アローリストされた環境。 子の claude は明示的なアローリスト（PATH、HOME、ロケール…）に加えてメモリ内の推論トークンのみを継承します — OLIVARES_* 署名鍵はなし、発行されたクレデンシャルを覆い隠しうる周辺の ANTHROPIC_*/CLAUDE_CODE_* もなしです。
検証済みサプライチェーン。 エンジンは cosign 署名済みです（検証する / ダイジェストで固定する）。 claude は鍵フィンガープリントを固定した Anthropic の署名済みリポジトリからインストールされます。インストーラーは、明示的にオプトアウトしない限り 未検証のエンジンの実行を拒否 します。
アンカーされた監査。 すべてのライフサイクル遷移とすべてのワークスペース変更は、ハッシュ連鎖された署名済み台帳に PayloadHash によって封印されます — ファイルのバイト列やフレームの内容が永続化されることは決してありません。