一条命令，安装 kageos

安装器从 10001 开始选择第一个空闲实例端口，并在结束时打印实际访问地址。请只在云服务器安全组中放行最终分配的 TCP 端口；第二个实例通常使用 10002，依此类推。

MySQL、NATS 和 MinIO 等内部服务不需要暴露到公网。

服务器位于 NAT、堡垒机或多出口网络后面时，自动检测结果可能不是用户真正访问的地址。可以明确传入公网地址和端口：

把域名的 A 或 AAAA 记录解析到服务器，确认公网 TCP 80 和 443 可以到达这台机器，然后在安装命令中加入 --domain app.example.com。

安装器会先检查 DNS，再在实例第一次启动时配置网关和 HTTPS；不会为了绑定域名额外启动第二遍。

默认路径会使用 Caddy 配置反向代理并自动申请 HTTPS，前提是 DNS 已指向服务器，而且 80/443 没有被错误拦截。

如果 Nginx 正在实际监听 80/443，kageos 会接入现有 Nginx 并复用已有证书；如果实际监听者是 Caddy，则继续使用 Caddy。缺少证书时安装器会停止并提示准备证书，不会静默降级成 HTTP。

先把域名解析到服务器并开放公网 TCP 80、443，再执行下面的命令。它会检查 DNS、配置可信 HTTPS 并验证公网地址，同时保留原实例、业务数据和管理员密码。

多实例服务器先运行 sudo kageos instance list，再带上实例名，例如：sudo kageos domain instance-02 demo.example.com。默认不允许静默降级到 HTTP；只有明确接受纯 HTTP 时才使用 --allow-http。完成后使用 sudo kageos doctor instance-02 检查。

有多个实例时，在 domain 命令中明确指定实例 ID：

备份会短暂停止实例以生成一致的本地归档，完成后自动重新启动。恢复前还会额外创建一份安全备份。

自动化部署可以继续传入参数，不经过交互：

普通部署不需要配置：默认由容器内置 Nginx 提供前端文件，最简单，也适合绝大多数中小型团队。只有静态资源流量已经明显占用主服务器带宽时，再启用这项高级能力。

先准备一个兼容 S3 的存储桶，并让 CDN 域名指向它；CDN 需要允许公开 GET，并为你的 kageos 域名开启跨域访问（CORS）。安装命令只填写公开配置；随后安装器会在终端中隐藏输入 Access Key 和 Secret Key。

密钥不会出现在命令参数中，也不会传入长期运行的主容器。配置会保存到 root 专用的实例配置文件中，之后执行 sudo kageos update 会自动复用，并在切换新版本前先上传新资源。自动化环境也可以通过 KAGEOS_WEB_S3_ACCESS_KEY_ID 和 KAGEOS_WEB_S3_SECRET_ACCESS_KEY 注入密钥。

先运行 sudo kageos doctor，再检查云安全组是否放行了实例端口。

查看状态：sudo kageos status；查看日志：sudo kageos logs。

更新管理器：sudo kageos self-update。正常更新实例时也会自动刷新管理器。