一条命令，安装 kageos

安装器从 10001 开始选择第一个空闲实例端口，并在结束时打印实际访问地址。请只在云服务器安全组中放行最终分配的 TCP 端口；第二个实例通常使用 10002，依此类推。

MySQL、NATS 和 MinIO 等内部服务不需要暴露到公网。

服务器位于 NAT、堡垒机或多出口网络后面时，自动检测结果可能不是用户真正访问的地址。可以明确传入公网地址和端口：

把域名的 A 或 AAAA 记录解析到服务器，确认公网 TCP 80 和 443 可以到达这台机器，然后再运行 sudo kageos domain app.example.com。

如果域名解析尚未生效，证书签发会失败；原来的 IP 实例会被保留，可以等待 DNS 生效后重试。

默认路径会使用 Caddy 配置反向代理并自动申请 HTTPS，前提是 DNS 已指向服务器，而且 80/443 没有被错误拦截。

如果服务器已经运行 Nginx，kageos 会接入现有 Nginx；已有证书可以直接复用，没有证书时需要沿用你的 Nginx/Certbot 证书流程。

先把域名解析到服务器，再执行下面的命令。它默认使用 Caddy 自动申请 HTTPS；如果服务器正在运行 Nginx，会接入现有 Nginx。

多实例服务器需要带实例名，例如：sudo kageos domain instance-02 demo.example.com。

有多个实例时，在 domain 命令中明确指定实例 ID：

备份会短暂停止实例以生成一致的本地归档，完成后自动重新启动。恢复前还会额外创建一份安全备份。

自动化部署可以继续传入参数，不经过交互：

普通部署不需要配置：默认由容器内置 Nginx 提供前端文件，最简单，也适合绝大多数中小型团队。只有静态资源流量已经明显占用主服务器带宽时，再启用这项高级能力。

先准备一个兼容 S3 的存储桶，并让 CDN 域名指向它；CDN 需要允许公开 GET，并为你的 kageos 域名开启跨域访问（CORS）。安装命令只填写公开配置；随后安装器会在终端中隐藏输入 Access Key 和 Secret Key。

密钥不会出现在命令参数中，也不会传入长期运行的主容器。配置会保存到 root 专用的实例配置文件中，之后执行 sudo kageos update 会自动复用，并在切换新版本前先上传新资源。自动化环境也可以通过 KAGEOS_WEB_S3_ACCESS_KEY_ID 和 KAGEOS_WEB_S3_SECRET_ACCESS_KEY 注入密钥。

先运行 sudo kageos doctor，再检查云安全组是否放行了实例端口。

查看状态：sudo kageos status；查看日志：sudo kageos logs。

更新管理器：sudo kageos self-update。正常更新实例时也会自动刷新管理器。