DE 実機からAWS eu-central-1のS3／STSとEU SaaS APIは、median でなく p95と駐留三層で。管理者分離稿を継ぎ、config validate を JSON 門禁に固定しM4 拡容と揃えます。走廊稿・DoH 稿と併読。法判断は含みません。
三つの観測摩擦
- AWS と SaaS の trace ID を混ぜると合否切り分けが遅れます。
- 平均 RTT で timeout を決めると深夜帯の尾を逃します。
- EU 経路とデータ駐留を同一視すると監査証跡が薄くなります。
フランクフルト起点 AWS eu-central-1 の p95 目安
設計用の目安で保証ではありません。DE Mac から各 endpoint へ HTTPS を 20 往復以上、昼と深夜で残してください。
| endpoint | median | p95 | 読み取り |
|---|---|---|---|
| s3.eu-central-1 | 12–22ms | 38–58ms | 夜間バックアップ向き |
| sts.eu-central-1 | 14–24ms | 42–62ms | AssumeRole 連打可 |
| S3 Express(*-azX) | 6–12ms | 22–36ms | 同 AZ 限定で利得 |
| cross-region(us-east-1) | 92–118ms | 180–240ms | 越境は signed URL 経由に限定 |
代表 EU SaaS API の p95 目安
署名検証やWebhookの往復は SaaS 側ピーク帯で揺れます。ピーク帯と非ピーク帯の二段でログを残してください。
| anchor | median | p95 | 印 |
|---|---|---|---|
| Azure OpenAI EU | 28–46ms | 78–112ms | 模型ゲート必須 |
| Stripe EU | 22–38ms | 58–82ms | 決済バッチ向き |
| HubSpot EU | 32–52ms | 88–122ms | ピーク帯回避推奨 |
データ駐留ルーティング三層
選区は三層で書きます：保存リージョン、API 出口経路、実機席。一行で混ぜないこと。
- 保存層：S3 バケットは
eu-central-1固定、越境は signed URL 30 分以内に限定。 - 出口層：
AWS_STS_REGIONAL_ENDPOINTS=regionalを環境で強制し、global を踏まない。 - 実機層：DE 実機の MAC アドレスと拠点を監査票に紐付け、個人端末は明文禁止。
OpenClaw 模型エンドポイント白リストと config validate JSON 門禁
egress allowlist と JSON 門禁を組み合わせ、PR 段階で誤った endpoint を弾きます。ログ秘匿稿の Doctor 検収と同条流で扱ってください。
| 項目 | 具体例 | 検収観点 |
|---|---|---|
| allowlist | Azure OpenAI EU と社内 model gateway のホスト限定列挙 | 余計な FQDN を排除 |
| JSON gate | openclaw config validate --json --strict |
終了コードと errors 長 |
| CI 一行 | jq '.errors|length==0' でブロック |
pre-merge を緑黄赤に |
メモ：allowlist 変更は変更票とペアで版管理し、Doctor 出力と JSON 門禁の差分を四半期で棚卸し。
M4 16／24GB 拡容レンタル対照
S3 同期とSTS リフレッシュのピーク、Xcode＋container併走を見越して RAM を決め、料金とドイツ購入で確定します。
| プラン | 向く負荷 | レンタル |
|---|---|---|
| M4 16GB | 単一 repo＋夜間 S3 同期＋軽 smoke | 短期で peak 平準化 |
| M4 24GB | STS 連打＋複数 sim＋container 同時 | 長期で年率最小 |
再現する五手順
- DE Mac から
s3 / sts.eu-central-1と SaaS HTTPS を計測し、p95 を昼夜で残す。 AWS_STS_REGIONAL_ENDPOINTS=regionalを環境変数で固定。- OpenClaw の allowlist に EU 模型ホストを限定列挙。
openclaw config validate --json --strictを pre-merge に接続。- 16／24GB を peak 票で確定し料金ページと整合。
引用用の三行
- AWS eu-central-1 の合否は p95 とデータ駐留三層で切ります。
- 模型ゲートは OpenClaw allowlist と JSON 門禁を CI に置きます。
- M4 拡容は peak 票と同一行でレンタル期間に落とします。
FAQ
Q1STS の regional は強制すべきか
本番では強制推奨。global だと監査ログの版が揃いません。環境変数で固定してください。
Q2JSON 出力は CI 門禁に使えるか
使えます。--json --strict と jq で errors を 0 に縛り、pre-merge を止めます。
Q3p95 は SLA に使えるか
内部 SLA の参考に留めます。AWS 公式 SLO とは別軸です。
シリーズ：管理者分離 · 走廊 Git · DoH／入口：トップ・ドイツ購入・ヘルプ。
四半期ごとに p95 と allowlist、JSON 出力を棚卸しし、レンタル期間を更新してください。