debug-openshell-cluster 是一个针对 OpenShell 网关部署的诊断技能，主要用于排查网关不健康、无法访问或无法创建沙箱等问题。
用途 该技能面向 OpenShell 网关部署的故障诊断，覆盖网关健康检查失败、Docker/Podman 运行时故障等场景。其核心思路是诊断网关及其所选的计算平台，并明确不要假定 OpenShell 会自动配置 Kubernetes 或运行 k3s 容器。OpenShell 面向一个可达的网关端点，其后端可以是 Docker、Podman、Kubernetes、实验性的 VM 驱动，或由 operator 管理的树外计算驱动。
主要能力 该技能提供按顺序执行的诊断工作流。第一步是检查 CLI 可达性，可使用以下命令： openshell gateway list --output json openshell gateway info openshell status 如需绕过已存储的网关选择与元数据进行一次性端点检查： openshell --gateway-endpoint <url> status 常见发现包括：无活跃网关、连接被拒绝、TLS/证书错误、edge 或 OIDC 网关未认证等。
第二步是识别计算平台。可依据网关元数据、部署值或用户设置说明确定驱动。针对不同平台有对应的检查方向：Docker 检查网关进程日志、Docker 守护进程健康、沙箱容器与镜像拉取；Podman 检查 socket、rootless 网络、沙箱容器与镜像拉取；Kubernetes 检查 Helm release、网关工作负载、Service、Secrets、沙箱 Pod 与事件；OpenShift 在 Kubernetes 基础上增加 SecurityContextConstraints（SCC）以及用于外部访问的 OpenShift Route；VM 检查 VM 驱动日志、rootfs 可用性与主机虚拟化支持；扩展驱动则检查外部驱动进程、Unix socket 所有权与权限、配置的驱动名、能力握手与网关日志。
第三步是检查网关启动依赖。在调试计算平台之前，应先检查网关日志中监听器就绪之前初始化的依赖是否失败。该技能还涵盖网关配置要求、凭证驱动、拦截器、网络策略校验等多方面的排查要点。
使用方式 使用该技能时需要满足以下前提：openshell CLI 可用以进行端点检查；已知活跃网关名称与端点，或能够检查本地网关元数据；已知计算平台类型；若为 Kubernetes，kubectl 需指向承载 OpenShell 的集群且 Helm 版本为 3 或以上；若为 Docker 或 Podman，运行时 socket 需从网关主机可达。具体命令与排查细节请以已安装 CLI 版本的 --help 输出，以及已发布的安装指南、计算驱动参考、网关配置参考与 Kubernetes 设置指南为准。
适用场景 适用于 OpenShell 网关部署出现健康检查失败、无法访问或无法创建沙箱的情况，也适用于按平台（Docker、Podman、Kubernetes、OpenShift、VM、树外驱动）定位计算平台层面的故障。
限制 该技能不假定 OpenShell 会配置 Kubernetes 或运行 k3s 容器。在 Windows 上，自定义二进制可独立包含 MXC；Docker、Podman、Kubernetes 与 VM 的注册在 Windows 上为拒绝桩，不会启用这些运行时。仅用于本地评估时，可以禁用 TLS 并通过 http://127.0.0.1:<port> 访问网关，但不建议为共享网关持久化或推荐不安全校验。资料未提供该技能的具体安装命令、收费或价格信息。