2026 年、OpenClaw の運用者が議論するのは「エージェントを使うか」ではなく、各セッションにどこまで権限を渡すかです。ツールの許可リスト、明示的な tools.profile、そして慎重な sessions_spawn が、並列の子セッションを加速させるか、ミスを増幅させるかを分けます。maxSpawnDepth は再帰のサーキットブレーカーです。本 FAQ は代表的な拒否メッセージと対処の対応表、最小権限プロファイルの骨子、そして単一ゲートウェイをボトルネックにしない多地域 Mac mini M4 クラウド Macへの長時間 macOS ジョブの扇状分散の考え方を整理します。ワークスペース信頼や Skills の初回オンボーディングは OpenClaw Skills とワークスペースの実践 FAQ とあわせて読むと筋が通ります。
一、メンタルモデル：まずプロファイル、次に spawn、最後に深度
tools.profile は、そのセッションが触れてよいビルトイン・Skills・OS 側の能力を列挙した契約だと考えてください。sessions_spawn は「このセッションが、独自の予算を持つ別セッションを起こしてよいか」を決めます。maxSpawnDepth はそのツリーがどこまで深くなれるかの上限です。エラーの順序が逆に見えるとき —— たとえば spawn は成功するのにツールだけ失敗する —— 原因は OpenClaw 本体より親子でプロファイルが不一致であることが多いです。同一ホスト上の manifest を揃えたうえで、両方のシェルからヘルスチェックを再実行してください。
二、tools.profile を軸にした最小権限テンプレート
出発点は調査専用の読み取り中心プロファイルです。ワークスペースルート以下へのファイル読み取り、パッケージレジストリとモデルエンドポイントへの限定された外向き通信、CI で既に使っている動詞に絞ったシェル実行、と段階を踏みます。能力を一つ足すたびに名前付きプロファイルにしてレビューで差分が追えるようにし、シークレットはプロンプトに埋めず Runner と同じマウント方針に寄せます。骨子は「デフォルト拒否 → git、curl / wget、ビルドドライバ、Skills 専用バイナリの明示許可 → 署名鍵を載せたホストだけに付ける“リリース用”プロファイル」の三段です。
三、sessions_spawn：代表的な拒否と読み解き
「このプロファイルでは spawn が許可されない」は、親プロファイルに spawn 権限が無いか、オーケストレータのテンプレートが古いポリシー・パスを指している典型です。「セッション予算を超えた」は、ゲートウェイ上の並列上限より速く扇しているサインです。キューイングを入れるか、恥ずかしいほど並列な作業を専用ホストへ逃がしてください。「子セッションのブートストラップに失敗」は、ログインシェルと非ログインシェルで PATH やロケール、ワークスペース環境が食い違っていることが多く、CI と同じ export 片を spawn 前に流してから再試行します。インスタンス一覧やストレージ、SSH / VNC の観測性は vpszap クラウド Mac で OpenClaw を動かすガイド に沿って整えると、spawn 先の差分検知が速くなります。
四、maxSpawnDepth：再帰・扇と、効いてくるエラー
深度超過は、エージェントが別エージェントへ委譲し、さらにその子がまた委譲する「終端のないプラン」になっていることがほとんどです。プロンプトを締める、デバッグ中は深度を下げる、深いチェーンを単一コーディネータ＋冪等スクリプトに置き換える、のいずれかで止めます。浅い深度 × 広い兄弟の方が運用では健全なことが多く、親は一人、子は狭いプロファイルの兄弟を複数、という形に寄せます。兄弟がディスクや Xcode Derived Data を奪い合うなら、並列 CI プールと同様に NVMe の余裕とリモートキャッシュの置き場を設計し、同じ作業ツリーへのツール呼び出し競合を避けます。
- 親子がディスク上の同一ポリシー・ファイルを参照している
- spawn 上限はゲートウェイの CPU / SSD 目標の横に文書化されている
- インシデント対応中は深度を下げ、グラフが安定してから戻す
- 各子に単一オーナー・キューがあり、同一 checkout の二重予約が起きない
五、事例：六地域の M4 クラウド Mac で長時間ジョブを分散
夜間に clone、静的解析、数時間のビルドが混ざる分析を想像してください。すべてを一台のゲートウェイ Mac に積む代わりに、データとレビュアの所在地に合わせて工程ごとに専用の Mac mini M4をシンガポール、東京、ソウル、香港、米西、米東に置きます。コーディネータ・セッション（厳格プロファイルだが spawn 可）が、各リージョンのホスト上に「その工程に必要なツールだけ」を持つ子セッションを起こします —— レジストリ近傍で clone、大きい作業ツリーのそばでビルド、という具合です。ゲートウェイは制御面に徹し、重い I/O はチェックアウトを載せた NVMe の隣で消化します。並列を祝う前に RTT とキャッシュヒット率を測ってください。
六、運用でループを閉じる
1 枚紙のマトリクスをリポジトリか社内 Wiki に置きましょう。列はプロファイル名、許可ツール、spawn の可否、最大深度、どのリージョンがどの工程を所有するか。アップグレードのたびにヘルスチェックを再実行し、プロファイルを広げる前にディスクのスナップショット方針を決めます。マトリクスが退屈に見え始めたら、並列エージェントはだいたい安全側に寄っています。
vpszap のクラウド上なら、このプレイブックが現実になりやすい
ここまでの前提は、リージョン境界ごとに SSH で区切れる専用 Apple Siliconホストをオペレータが端到端で握っていることです。vpszap は仮想化のない物理 M4 Mac miniを提供し、注文からおおよそ5 分でSSH と VNCが使える状態にします。課金は日・週・月・四半期から選べ、長期契約は不要です。シンガポール、東京、ソウル、香港、米西、米東のノードで、コーディネータとワーカーをレイテンシとストレージの都合よく配置できます。
spawn 前提の自動化を、すでにリリース列車が信頼しているクラスの金属の上に載せ替えたい場合は、vpszap のクラウド Mac mini から検討するのが摩擦が少ない入口です。
