一、操作场景
这篇会为你介绍如何创建一个新的自定义沙箱工具，并为后续启动沙箱实例做准备。
注意：在 AgentRL 场景下，你可能会创建大规模自定义镜像，为降低创建大量自定义沙箱工具带来的运维成本，AGS 支持在启动沙箱实例时重置沙箱工具镜像，提升大规模场景的易用性。
二、前提条件
自定义镜像内必须内含 /usr/bin/envd 且具备可执行权限，否则沙箱将无法正常启动或无法通过健康检查。详细镜像构建方式、envd 版本差异及 Dockerfile 示例，请参见 envd 构建 AGS 自定义沙箱镜像。
三、操作步骤
1. 登录 Agent 沙箱服务控制台，在左侧导航中的 Agent 沙箱中选择沙箱管理：
2. 在沙箱管理页面，单击新建沙箱工具，进入创建自定义沙箱页面：
3. 在创建自定义沙箱窗口，填写具体参数信息。
| 参数类型 | 参数名称 | 是否必填 | 参数说明 |
| 基本信息 | 工具名称 | 必填 | 指定创建的沙箱工具名称。名称命名规则：最长 50 个字符，只能包含字母、数字及分隔符("-")，且必须以字母开头。 |
| | 生命周期 | 必填 | 支持两种沙箱类型：限时沙箱：到期自动释放，适合短时 Agent、工具调用场景。默认值 5 分钟，支持格式：5m、300s、1h，最小值为 5 分钟（300 秒）。常驻沙箱：持续运行至手动销毁，适合 OpenClaw 等有状态场景。 |
| | 描述 | 非必填 | 自定义沙箱工具的描述。单击更多展开。最长 255 个字符。 |
| 资源与健康 | 资源规格 | 必填 | CPU（核）、内存（Gi）、系统盘大小（Gi）三个参数独立设置。默认值：CPU 2 核、内存 4 Gi、系统盘大小不设置（使用默认值）。如有其他配置需求，可 提交工单 处理。 |
| | 健康检查 | 必填 | 用于探测沙箱中运行的自定义镜像是否正常运行。默认已使用推荐配置，单击"查看配置项"可自定义检查方式。 |
| | 存储配置 | 非必填 | 自定义镜像支持的持久化存储方式。单击更多 > 存储配置展开。沙箱支持对接多种存储类型作为持久化存储，可在沙箱工具维度统一挂载同一存储路径，确保工具下所有沙箱实例共享数据；同时也支持按沙箱实例进行路径隔离，满足多实例并发运行下的数据安全与独立性需求。请参见 挂载文件系统 COSFS。 |
| 镜像与启动 | 镜像 | 必填 | 镜像来源支持容器镜像服务企业版、个人版和第三方镜像仓库。可直接粘贴完整镜像地址，系统会自动识别仓库及版本。 |
| | 镜像版本（Tag） | 非必填 | 镜像 Tag，不填默认为 latest。 |
| | 启动命令 | 必填 | 控制容器运行的输入命令，查看详情。每行命令单独输入，不能为空；单击新增可添加多行命令。 |
| | 启动参数 | 非必填 | 传递给容器运行命令的输入参数，查看详情。选择更多 > 启动参数展开。 |
| | 环境变量 | 非必填 | 只能包含字母、数字及分隔符("-"、"_"、".")；变量名为空时，在变量名称中粘贴一行或多行 key=value 或 key: value 的键值对可以实现快速批量输入。选择更多 > 环境变量展开。 |
| 网络与权限 | 网络策略 | 必填 | 沙箱支持三种类型的网络策略：沙箱内网：沙箱禁止访问公网服务或者 VPC 网络，适用于需高度安全隔离的场景。默认选项。公网：允许沙箱访问公网服务，适用于需要联网调用第三方 API、下载依赖等场景。VPC 网络：允许沙箱访问 VPC 内服务，适用于需要访问 VPC 内服务的场景。 |
| | CAM 角色 | 非必填 | 为你的沙箱工具配置云资源（例如 COS、镜像仓库）的访问权限。 |
| | 端口配置 | 非必填 | 自定义监听端口。选择更多 > 端口配置展开。 |
| | DNS 配置 | 非必填 | 自定义 DNS 配置。选择更多 > DNS 配置展开。 |
| 高级配置 | 日志配置 | 非必填 | 自定义日志采集相关配置。选择高级配置 > 日志配置展开。 |
| | 腾讯云标签 | 非必填 | 标签用于从不同维度对资源分类管理。如现有标签不符合你的要求，你亦可前往 标签控制台 统一管理标签。 |
4. 在填写完必填的镜像参数后，单击一键预检，可以检查是否拥有沙箱工具所依赖资源的权限：
5. 单击确定，创建沙箱工具。
6. 创建完成后，你可在沙箱工具详情页面查看，以便后续在启动沙箱实例时使用：