你浏览器
你终端 · docker compose exec
deploy/secrets/providers.yaml → providers
slack.env → ui · 不进 git、不进镜像
数据目录 · 知识库myorch-data/ · myorch-knowledge/
channels.yaml · ~/orca/kb（bind mount）
docker compose · 网络 default · 服务之间用服务名互相访问
ui控制台 · channel 层 · Slack · Watchdog
initmyorch init：volume、tools
每次 up 都跑
providers读凭证文件 → 写进 gateway
gateway-init没有密钥时生成 sandbox 签名密钥（Ed25519）
temporalgRPC :7233 · 界面 :8233
workermyorch worker · 执行步骤
gatewayOpenShell 官方镜像 · :17671凭证 · policy · sandbox 记录
宿主机 Docker · 经挂进容器的 /var/run/docker.sock
Docker daemon/var/run/docker.sock
辅助容器--network none · 读写 volume
volume myorch-artifacts所有 run 的工作区
sandbox · 每个步骤实例一对容器
supervisor 容器bridge 网络policy · 换入真实凭证
workload 容器agent 或脚本 · 网络 none
volume gateway-state签名密钥 · gateway 数据库
第三方平台GitHub · api.anthropic.com 等，policy 放行的地址
HTTP 127.0.0.1:8800
myorch 命令
openshell 命令
只读挂载 /secrets
gRPC temporal:7233
发起 · 回复 · 审批
gRPC：取任务
openshell CLI：profile、provider
openshell CLI：建、删 sandbox
http://gateway:17671
写密钥
docker CLI：起辅助容器
（ui、init 也这样）
docker API：建两个容器
读写
挂载 subpath
回连 host.docker.internal:17671
经宿主机上发布的端口
Unix
socket
policy 放行的出站 · 换入真实凭证
调用
出站请求
读写数据
图里没画的连接：ui 主动连 Slack（Socket Mode，出站，不开端口）；
本机 Claude Code 会话连 ui 的 127.0.0.1:8800；宿主机上的 uv run myorch 连 temporal 的 127.0.0.1:7233，读事件经 ui。