文档中心

AgentKit

沙箱模板管理

创建沙箱模板

当您希望为多个 Agent 复用同一套运行环境、依赖配置或工具能力，仅用一个综合环境即可完成各类 AI 任务运行，可以先创建沙箱模板，再在后续创建或管理 Agent 时直接使用。本文介绍如何创建沙箱模板。

前提条件

（可选）如果需要使用 TOS 存储沙箱模板数据，请确认：

已开通对象存储 TOS。

已在待创建沙箱模板的地域创建 TOS Bucket，详细操作可参见创建存储桶。

已登录平台控制台获取AK/SK，进入API访问密钥页面，创建并获取 Access Key ID 和 Secret Access Key。

（可选）如果需要查看服务的运行日志，请确认已开通全栈可观测平台。

（可选）如需使用 AgentKit 模型服务中的模型，请先前往模型服务控制台创建模型服务。

（可选）如需通过私有网络 VPC 进行访问沙箱模板，请确保已开通火山引擎私有网络，并已在待创建沙箱模板的地域创建私有网络、子网。详细操作请参见创建私有网络、创建子网。

使用限制

一个沙箱模板最多支持配置 2 个 TOS 挂载点，且仅支持挂载同地域的 TOS Bucket。

同一个沙箱模板配置多个 TOS 挂载点时，支持选择相同的 TOS Bucket，支持指定相同的 Bucket 子目录，但不支持指定相同的本地目录。

操作步骤

方式一：使用平台预置模板创建

使用平台预置的沙箱模板，平台已提前预置 ArkClaw Sandbox、Hermes Sandbox、AIO Sandbox、Skills Sandbox 、Code Sandbox，便于您直接使用。

登录AgentKit控制台。

在左侧导航树中，选择“沙箱模版”。

单击“创建沙箱模板”按钮，在创建页面参照下表完成参数配置，配置完成后单击“创建”按钮，完成操作。

基本信息

参数	说明	示例
名称	设置新创建沙箱模板的名称。同一账号下沙箱模板名称不可重复。沙箱模板创建成功后，不支持修改名称。	Sandbox_test
类型	选择预置沙箱模板的类型，此处选择“预置模板”，并选择一种实际使用预置沙箱模板。各种沙箱模板的介绍以及适用场景，详见沙箱模板类型。 ArkClaw Sandbox：内置 ArkClaw，面向个人用户与轻办公场景，支持以自然语言完成日常事务处理与轻量办公自动化。 Hermes Sandbox：内置可持续学习的 Hermes Agent，支持持续记忆、主动学习与技能沉淀，显著提升复杂任务处理效率。 AIO Sandbox：是 AI Agent 的一体化综合运行环境，包含 Browser、Terminal、Code 运行环境，适配多步骤复杂任务，支持自动根据任务切换运行环境。 Skills Sandbox：内置了常用 Skills 和可执行 Skills 的智能体，使用过程中将涉及模型调用费用。如需同时使用 VeADK 内置的run_code和execute_skill能力，请创建 Skills Sandbox 类型。查看Skills预置列表 Code Sandbox：内置代码执行环境，支持代码生成、项目调试、依赖安装、脚本执行和测试验证。如需专注处理代码开发类任务，请创建 Code Sandbox 类型。	Code Sandbox
所属网关	选择沙箱模板所属的网关类型。当前仅支持共享模式。共享模式：沙箱模板运行在平台统一提供的共享网关资源上，无需创建网关实例。共享模式下存在 QPS 等限流限制，适用于功能验证（POC）或低流量测试场景，不建议用于生产环境。	共享模式

模型配置/模型与技能配置

注意

并非所有的沙箱模板都需要配置模型：

无需配置：沙箱模板类型为 AIO Sandbox 时无需配置模型，因为 AIO Sandbox 没有智能体逻辑，纯环境，所以不用配模型。

需要配置：当沙箱模板类型为 ArkClaw Sandbox/Hermes Sandbox/Skills Sandbox/Code Sandbox 时需配置模型，因为这些 Sandbox 内置了会“思考+执行”的智能体，运行需要靠大模型驱动，所以要配模型。

参数	说明	示例
智能体模型	选择沙箱模板调试时使用的智能体模型，模型配置是给沙箱模板指定“调试时用哪个模型来驱动”。 Skills Sandbox：选择 Skills Sandbox 调试时使用的智能体模型。模型将按 Token 用量计费，费用详情请参见模型服务计费说明。 ArkClaw Sandbox/Hermes Sandbox/Code Sandbox：先选择模型来源，在下拉列表中选择实际使用的模型。支持以下模型来源：模型端点：自定义模型接入，可选择 AgentKit 模型服务中已接入的模型或来源于火山方舟的模型。模型服务：使用已在 AgentKit 中创建的模型服务，在模型服务页签，选择对应的 Proxy API Key 名称，再选择所需模型。由实际模型提供商收取模型相关费用。若无符合需求的模型，可前往模型接入控制台创建模型服务、添加模型提供商和模型。火山方舟：火山引擎方舟模型广场中的大模型，调用不经过 AgentKit 网关，可能存在密钥泄露风险。按实际 Token 用量计费，灵活按需使用，计费方式详见模型服务计费说明。 Coding Plan：火山引擎方舟平台提供的多模型订阅包，适用于代码生成、编程辅助等场景。按订阅包计费，性价比较高，仅订阅后可用。 Agent Plan：火山引擎方舟平台提供的多模型订阅包，适用于 Agent 推理、任务规划等场景。按订阅包计费，性价比较高，仅订阅后可用。说明如果指定模型未开通，创建时将自动为您开通。	模型广场
API Key	选择调用智能体模型时使用的 API Key，作为调用指定模型时的鉴权凭证。	api-key-yei834****
技能空间	仅预置模板类型为 ArkClaw Sandbox、Skills Sandbox 时需配置此参数。沙箱模板下沙箱实例使用的技能空间，用于统一管理沙箱可调用的技能资源。 • 自动创建：输入名称后，系统自动为您创建一个新的技能空间。 • 选择已有：从已有的技能空间中选择一个进行关联。	自动创建
内置技能	预置到该沙箱模板中的技能列表。Agent 关联此模板后，沙箱实例将默认具备所选技能能力。单击输入框右侧图标可打开技能选择面板，支持从预置技能、公开技能和技能广场中搜索并按需添加。	--

网络配置

配置新创建沙箱模板的网络访问类型。

参数	说明	示例
网络访问	配置网络访问方式。包括：私网访问：通过私网访问沙箱模板，安全性更高。下拉选择目标私有网络（VPC）和子网，每个可用区仅支持选择一个子网。公网访问：通过公网访问沙箱模板，是默认的访问方式。	公网访问
共享公网访问	仅当网络访问选择私网访问时，支持开启共享公网端口。开启：沙箱模板将使用平台提供的公网出口访问公网。未开启：将默认使用您选择 VPC 的自定义公网（例如，使用公网IP或NAT网关等公网产品）出口。	未开启

权限与访问控制

配置沙箱模板的可用权限范围和入站身份认证信息。

参数	说明	示例
入站身份认证	配置沙箱模板托管资源认证信息，用来控制谁可以访问此沙箱模板托管资源。 API Key：输入名称后，将自动为沙箱模板创建和绑定 API Key，沙箱模板创建成功后，可在沙箱模板详情页查看。 OAuth JWT：使用 OAuth 授权模式完成访问令牌申请和 API 调用，提升安全性，同时简化配置。配置前，请确认已创建用户池和客户端。注意 API Key 与 OAuth JWT 为互斥的认证方式，仅可启用其中一种。 API Key 模式最多可配置 1 个，OAuth JWT 模式最多可绑定 5 个客户端。	API Key
MCP 服务	是否将沙箱以 MCP 服务形式对外开放。开启后，沙箱工具将支持第三方 Agent 通过 MCP 协议快速接入与调用。	关闭
IAM 角色	配置沙箱模板访问火山其他云服务资源的权限。配置方式：新建角色：可自定义一个角色名称，创建成功后，系统自动配置相关权限。您可在访问控制-角色管理中查看角色权限，不支持修改角色。选择已有：选择已创建的角色。您可单击“查看角色”，查看角色权限详情。配置说明如果开启了 MCP 服务，必须配置此项；如果不开启 MCP 服务，且不需要在沙箱环境中访问 TOS 等云资源，可以不配置此项。如果沙箱模板类型为 Skills Sandbox，必须绑定包含 AgentKitTosAccess 策略的 IAM 角色或直接绑定名称为Agent_Runtime_Default_ServiceRole_序列号的 IAM Role，以保障 Skills Sandbox 任务的正常运行。如果您需要使用已有角色，但已有角色无法选中，可能是该角色缺少相关信任关系，请根据页面提示添加所需信任关系。确认所需的信息关系，单击对应角色的“查看角色”按钮。在角色详情页面信任关系页签下，单击“编辑信任策略”按钮。在Service下添加缺失的信任关系，添加完成后单击“保存”按钮保存配置。	新建角色

高级配置

参数	说明	示例
快照	是否启用快照功能。默认不启用，如果有中间产物需保留/想续接上次状态，建议启用；一次性任务/成本敏感，不建议启用。启用快照功能后，平台将会在沙箱模板实例到期前自动创建快照，保存实例数据和环境，可用于后续恢复实例。恢复操作详见使用快照恢复实例。开启快照功能后，仅在实例到期前由系统触发快照创建操作，主动删除或异常回收的实例不保留。	启用
观测服务	是否启用观测服务。默认启用，生产环境建议保持启用，仅短期验证/成本敏感可关闭。启用后提供沙箱模板服务日志，便于排障/审计/性能分析。启用观测服务平台会同时开通 APMPIus 和 TLS 服务，并授权 APMPIus 服务写入日志。服务产生的费用请参见日志计费。	启用
环境变量	自定义配置的环境变量，用于给沙箱运行时注入配置项（外部服务地址、Feature Flag等），在智能体运行时代码运行时可以直接读取。实现代码和配置的分离，增强代码的可移植能力。表单编辑：通过键、值对方式，配置环境变量，适用于少量简单键值对。单击添加环境变量，根据控制台界面提示的变量输入要求，设置键和值。 JSON 格式编辑：通过 JSON 文件方式配置环境变量，适用于批量/复杂结构。JSON 文件需满足如下格式： { "envKey1": "envValue1", "envKey2": "envValue2" }	--
存储	是否为沙箱挂载对象存储 TOS，提供存储数据至 TOS 服务的能力。启用 TOS 挂载：启用后沙箱模板实例对应目录的数据，将存储至 TOS 服务，实现数据持久化和跨实例复用。服务产生的费用详见对象存储计费说明。鉴权方式：沙箱访问 TOS 时使用的鉴权方式，支持以下两种： AKSK：使用 Access Key / Secret Key 进行鉴权，请输入平台的 Access Key ID 和 Secret Access Key。 IAM Role：使用沙箱应用角色访问 TOS，无需手动管理密钥。选择后，系统将自动展示当前沙箱绑定的应用角色（如 AgentKit-Runtime-Default-ServiceRole-xxxxxx）。 TOS 挂载点：配置挂载点信息，可同时配置 2 个挂载点，支持选择相同的 TOS Bucket （TOS 桶），支持指定相同的 Bucket 子目录，但不支持指定相同的本地目录。 Bucket：下拉选择已有 Bucket。若还未创建，请前往对象存储控制台创建 Bucket。访问地址：根据选择的 Bucket 自动填充。 Bucket 子目录：指定 Bucket 的子目录（如tmp/abc），若不指定或指定的子目录不存，系统将自动创建。本地目录：指定待挂载的沙箱模板实例本地目录（如/home/app），并设置该目录的访问权限为读写权限或只读权限。	启用
实例规格	配置实例的规格。此规格是沙箱模板创建成功后，Agent 关联此模板启用的沙箱实例规格，平台会按此规格计费，详见计费项。取值范围：不同类型沙箱模板取值范围不同。 ArkClaw Sandbox、Hermes Sandbox：vCPU 为 4 ～ 16核；内存为 8 ～ 128 GiB。 AIO Sandbox、Skills Sandbox 和 Code Sandbox：vCPU 为 2 ～ 16核；内存为 4 ～ 128 GiB。选型建议：轻量任务保持默认值即可；并发浏览器/大文件/本地推理场景可提高内存比值。注意配置实例规格时，vCPU 和内存需满足以下比值要求： vCPU值为整数时，比值为1:2、1:4、1:8。 vCPU 值为非整数时，比值为1:2、1:4。	2 vCPU / 8 GiB
所属项目	项目是一组资源的集合，您可以将本次创建的沙箱模板添加至项目中并按项目维度统一管理，有利于保持资源独立，维护数据安全。有关项目的更多信息请参见项目管理。默认为default，一个资源只能归属于一个项目。选定项目后，创建的沙箱模板只能被具有该项目权限的用户使用。创建沙箱模板后，您可以按需更改实例所属项目。进入创建页面时，如果您已在顶部导航栏选择了具体项目，则新创建的沙箱模板只能绑定该项目；若要绑定其他项目，请将顶部导航栏的项目更改为“账号全部资源”或目标项目。若无可用项目，您可单击“新建项目”按钮进行创建，创建完成后，返回本页面即可选择新添加的项目。	default
标签	标签由一个键-值对（Key-Value）组成，用于标识云资源，可以从不同维度（例如用途、所有者或环境等）对云资源进行分类，便于搜索和聚合。单击“+ 添加标签” 按钮，选择已有标签或输入新的标签，为沙箱模板绑定标签。更多信息，请参见标签管理。说明单次操作最多可绑定20个标签，单个资源最多可绑定50个标签。	Key1:Value1

方式二：使用自定义方式创建模板

如果您已有自定义的沙箱模板，可使用此操作以容器镜像的方式部署。

登录AgentKit控制台。

在左侧导航树中，选择“沙箱模版”。

单击“创建沙箱模板”按钮，在创建页面参照下表完成参数配置，配置完成后单击“创建”按钮，完成操作。

基本信息

参数	说明	示例
名称	设置新创建沙箱模板的名称。同一账号下沙箱模板名称不可重复。沙箱模板创建成功后，不支持修改名称。	Sandbox_test
类型	沙箱模板的类型，此处选择自定义，通过容器镜像方式部署沙箱模板。从镜像仓库选择：从您在火山引擎平台上已有的容器镜像仓库（CR）中直接浏览并选择镜像。适用于：您的镜像已通过火山引擎 CR 服务托管，可在平台内直接关联，无需手动填写地址。若无可用镜像实例，可单击“创建镜像”按钮，先创建符合要求的镜像实例。输入火山镜像地址：手动填写一个符合火山引擎规范的容器镜像完整地址。适用于：您已知道镜像的完整路径，或镜像来自特定的命名空间/项目，希望直接指定。格式通常为 registry-{region}.volces.com/{namespace}/{image}:{tag}）。	从镜像仓库选择：privaete-vpc-cr-cn-xxx.cr.volces.com/agentkit/simple-app:1.0
所属网关	选择沙箱模板所属的网关类型。当前仅支持共享模式。共享模式：沙箱模板运行在平台统一提供的共享网关资源上，无需创建网关实例。共享模式下存在 QPS 等限流限制，适用于功能验证（POC）或低流量测试场景，不建议用于生产环境。	共享模式
启动命令	设置沙箱模板程序的启动命令。指定脚本文件：请使用绝对路径，并确保脚本具有相应的可执行权限。未指定脚本文件：默认执行/opt/gem/run.sh脚本。	/opt/gem/run.sh
监听端口	输入代码中 HTTP Server 监听的端口，默认为8080端口。注意请避免使用 AgentKit 服务占用端口9990。您启动的 HTTP Server 需监听0.0.0.0:Port或*:Port，否则会导致请求超时错误。	8080

网络配置

配置新创建沙箱模板的网络访问类型。

参数	说明	示例
网络访问	配置新创建沙箱模板的访问方式。公网访问：通过公网访问沙箱模板，是默认的访问方式。私网访问：通过私网访问沙箱模板，安全性更高。下拉选择目标私有网络（VPC）和子网，每个可用区仅支持选择一个子网。	公网访问
共享公网访问	仅当网络访问选择私网访问时，支持开启共享公网端口。开启：沙箱模板将使用平台提供的公网出口访问公网。未开启：将默认使用您的自定义公网（例如，使用公网IP或NAT网关等公网产品）出口。	不开启

权限与访问控制

参数	说明	示例
入站身份认证	配置沙箱模板托管资源认证信息，用来控制谁可以访问此沙箱模板托管资源。 API Key：输入名称后，将自动为沙箱模板创建和绑定 API Key，沙箱模板创建成功后，可在沙箱模板详情页查看。 OAuth JWT：使用 OAuth 授权模式完成访问令牌申请和 API 调用，提升安全性，同时简化配置。配置前，请确认已创建用户池和客户端。注意 API Key 与 OAuth JWT 为互斥的认证方式，仅可启用其中一种。 API Key 模式最多可配置 1 个，OAuth JWT 模式最多可绑定 5 个客户端。	API Key
MCP 服务	是否将沙箱以 MCP 服务形式对外开放。开启后，沙箱工具将支持第三方 Agent 通过 MCP 协议快速接入与调用。	关闭
IAM 角色	配置沙箱模板访问火山其他云服务资源的权限。配置方式：新建角色：可自定义一个角色名称，创建成功后，系统自动配置相关权限。您可在访问控制-角色管理中查看角色权限，不支持修改角色。选择已有：选择已创建的角色。您可单击“查看角色”，查看角色权限详情。配置说明如果开启了 MCP 服务，必须配置此项；如果不开启 MCP 服务，且不需要在沙箱环境中访问 TOS 等云资源，可以不配置此项。如果沙箱模板类型为 Skills Sandbox，必须绑定包含 AgentKitTosAccess 策略的 IAM 角色或直接绑定名称为Agent_Runtime_Default_ServiceRole_序列号的 IAM Role，以保障 Skills Sandbox 任务的正常运行。如果您需要使用已有角色，但已有角色无法选中，可能是该角色缺少相关信任关系，请根据页面提示添加所需信任关系。确认所需的信息关系，单击对应角色的“查看角色”按钮。在角色详情页面信任关系页签下，单击“编辑信任策略”按钮。在Service下添加缺失的信任关系，添加完成后单击“保存”按钮保存配置。	新建角色

高级配置

参数	说明	示例
快照	是否启用快照功能。启用快照功能后，平台将会在沙箱模板实例到期前自动创建快照，保存实例数据和环境，可用于后续恢复实例。恢复操作详见使用快照恢复实例。	启用
观测服务	开启观测服务后，将会提供沙箱模板服务日志。平台将会同时开通 APMPIus 和 TLS 服务，并授权 APMPIus 服务写入日志。服务产生的费用请参见日志计费说明。	启用
环境变量	输入代码中 HTTP Server 监听的端口，默认为 8080 端口。	--
存储	是否为沙箱挂载对象存储 TOS，提供存储数据至 TOS 服务的能力。启用 TOS 挂载：启用后沙箱模板实例对应目录的数据，将存储至 TOS 服务，实现数据持久化和跨实例复用。服务产生的费用详见对象存储计费说明。鉴权方式：沙箱访问 TOS 时使用的鉴权方式，支持以下两种： AKSK：使用 Access Key / Secret Key 进行鉴权，请输入平台的 Access Key ID 和 Secret Access Key。 IAM Role：使用沙箱应用角色访问 TOS，无需手动管理密钥。选择后，系统将自动展示当前沙箱绑定的应用角色（如 AgentKit-Runtime-Default-ServiceRole-xxxxxx）。 TOS 挂载点：配置挂载点信息，可同时配置 2 个挂载点，支持选择相同的 TOS Bucket （TOS 桶），支持指定相同的 Bucket 子目录，但不支持指定相同的本地目录。 Bucket：下拉选择已有 Bucket。若还未创建，请前往对象存储控制台创建 Bucket。访问地址：根据选择的 Bucket 自动填充。 Bucket 子目录：指定 Bucket 的子目录（如tmp/abc），若不指定或指定的子目录不存，系统将自动创建。本地目录：指定待挂载的沙箱模板实例本地目录（如/home/app），并设置该目录的访问权限为读写权限或只读权限。	启用
实例规格	配置实例的规格。此规格是沙箱模板创建成功后，Agent 关联此模板启用的沙箱实例规格，平台会按此规格计费，详见计费项。 vCPU：2～16核。内存：4～128 GiB。注意配置实例规格时，vCPU 和内存需满足以下比值要求： vCPU值为整数时，比值为1:2、1:4、1:8。 vCPU 值为非整数时，比值为1:2、1:4。	2 vCPU / 8 GiB
所属项目	项目是一组资源的集合，您可以将本次创建的沙箱模板添加至项目中并按项目维度统一管理，有利于保持资源独立，维护数据安全。有关项目的更多信息请参见项目管理。默认为default，一个资源只能归属于一个项目。选定项目后，创建的沙箱模板只能被具有该项目权限的用户使用。创建沙箱模板后，您可以按需更改实例所属项目。进入创建页面时，如果您已在顶部导航栏选择了具体项目，则新创建的沙箱模板只能绑定该项目；若要绑定其他项目，请将顶部导航栏的项目更改为“账号全部资源”或目标项目。若无可用项目，您可单击“新建项目”按钮进行创建，创建完成后，返回本页面即可选择新添加的项目。	default
标签	标签由一个键-值对（Key-Value）组成，用于标识云资源，可以从不同维度（例如用途、所有者或环境等）对云资源进行分类，便于搜索和聚合。单击“+ 添加标签” 按钮，选择已有标签或输入新的标签，为沙箱模板绑定标签。更多信息，请参见标签管理。说明单次操作最多可绑定20个标签，单个资源最多可绑定50个标签。	Key1:Value1

后续操作

创建成功后，您可以将沙箱模板集成至您的 Agent 代码中，以使得 Agent 可以调用一个隔离环境完成代码运行、浏览器等复杂任务。详细操作，请参见在Agent中集成沙箱模板。

最近更新时间：2026.09.23 19:23:13

这个页面对您有帮助吗？

有用

无用