Cloudflare One 零信任架构顾问
帮助代理设计、配置和排查 Cloudflare One 部署。
技能要求先获取当前文档和架构上下文，强调检查现有资源、分阶段发布、明确回滚，并禁止未经批准启用广泛生产策略；这些措施降低了越权和破坏性变更风险。扣分原因是未系统说明凭证、日志、DLP载荷等敏感数据的数据流、最小权限和隔离边界，且通过MCP/API执行变更时的逐项确认机制不完整。
工作流、产品分类、故障排查和验证提示基本一致，并提供从日志追溯策略、路由或隧道的诊断路径。扣分原因是没有提交的测试套件或脚本，依赖当前外部文档、MCP和API可用性，异常输入及检索失败时的明确失败反馈有限；按静态校准不超过10分。
名称和描述清楚覆盖 Cloudflare One 的架构、配置、迁移、排障和评审场景，且按 Access、Gateway、Tunnel、DLP、身份等任务细分提示。扣分原因是非适用范围、触发排除条件和输入输出边界仍不够明确，未提供中文支持说明；核心检索依赖海外 Cloudflare 文档/MCP，未证明中国大陆网络可达性。
文档有元数据、工作流、按主题分层的评估提示、护栏、验证提示和输出默认值；仓库提供安装说明，Apache-2.0 许可清晰。扣分原因是技能本身没有版本、变更日志、维护负责人或明确更新路径，且缺少依赖故障排查、示例输出和已知限制说明。
对于设计、配置审查和排障，技能提供了可直接采用的上下文清单、产品职责区分、验证用例、回滚和渐进发布建议，能完成核心决策辅助任务。扣分原因是它主要提供检索和审查框架，不产生经过验证的配置或结果；关键事实必须再次查询，最终输出仍需较多人工复核。按静态校准不超过7分。
技能包含大量指向 Cloudflare 官方文档的具体引用，并要求使用当前 API schema，仓库还有 Semgrep CI。扣分原因是没有覆盖该技能关键路径的提交测试、固定样例或第三方执行证据，无法静态复现结论；按静态校准不超过5分。
- 不要把技能中的产品字段、策略顺序、类别ID或API请求体视为已验证事实；必须先确认当前官方文档、schema和账户对象。
- 涉及生产策略、TLS检查、DLP、路由、隧道或身份策略时，应先限定试点范围并取得明确批准，同时准备可执行的回滚方案。
- 避免将凭证、PSK、日志或DLP载荷发送到未审查的外部工具；技能未完整定义这些数据的处理边界。
- 确认 Cloudflare 官方文档和所需 MCP 在目标网络环境中可访问，并为不可访问情况准备替代资料。
这个 Skill 能做什么，适合哪些场景？
该技能专注于 Cloudflare One 的 Access、Gateway、WARP、Tunnel、Cloudflare WAN、DLP、CASB、设备姿态和身份能力。它采用检索优先方式，要求在引用限制、设置、API 字段或界面路径前查阅当前 Cloudflare 文档、文档 MCP 或 API schema。技能会先分类任务并收集环境、身份、网络和发布范围信息，再提出变更、验证和回滚方案。它适合需要谨慎规划 Cloudflare One 部署的安全、网络和平台团队。
根据架构、配置、故障排查、迁移或评审任务收集账户、用户、应用、身份提供商、网络路径、合规要求和发布范围等上下文；检索相关 Cloudflare One 文档或 API schema；检查现有 Access 应用和策略、Gateway 规则、设备配置、隧道、路由、DNS 和站点资源（当账户访问可用时）；输出前置条件、拟变更资源、验证测试、风险控制和回滚建议。
- 安全团队规划面向远程用户和私有应用的 Cloudflare Access 与 WARP 部署。
- 网络团队设计 Cloudflare Tunnel、Mesh 或 Cloudflare WAN 的私网连接和高可用方案。
- 平台团队配置 Gateway 流量策略、TLS 检查、DLP 或 SaaS 细粒度控制。
- 运维团队排查 Access 拒绝、Gateway 阻断、DNS 解析、隧道或私有路由问题。
- 企业团队评审设备姿态、身份同步、CASB、用户风险和分阶段发布策略。
这个 Skill 有哪些优点和局限？
- 覆盖 Cloudflare One 多个核心产品和常见部署场景。
- 强调检索当前文档和 API schema，减少依赖过时内置知识。
- 包含架构评估、验证、试点、日志排查和回滚指导。
- 对身份同步、分流模式、私有 DNS、TLS 检查和策略优先级提供具体护栏。
- 依赖当前 Cloudflare 文档、API schema 或 MCP 信息，无法仅凭技能正文完成所有精确配置。
- 账户资源检查和实际变更取决于是否提供账户访问能力。
- 源材料未显示配套脚本、自动化测试或独立 CLI。
- 内容聚焦 Cloudflare One，不应将其用于仓库其他技能覆盖的 Workers、Agents SDK 或存储开发任务。
如何安装这个 Skill？
该仓库是包含 11 个技能的集合。可使用 npx skills add https://github.com/cloudflare/skills 安装集合；也可克隆仓库后，将 skills/cloudflare-one 文件夹复制到所用代理的技能目录，例如 OpenAI Codex 使用 ~/.codex/skills/，Claude Code 使用 ~/.claude/skills/。源材料未提供该单个技能的独立安装命令。
如何使用这个 Skill？
安装后，用自然语言提出 Cloudflare One 任务，例如：“评审我们的 Cloudflare Tunnel 和 WARP 私有应用访问架构，并给出验证与回滚方案。”技能会根据任务类型收集必要上下文并检索当前文档。源材料未记录单独的 slash command、脚本或测试命令。
这个 Skill 与同类方案有什么区别？
它不是独立的 Cloudflare 管理工具，而是指导代理在 Cloudflare One 产品之间进行职责划分和方案选择。例如，Access 负责应用授权，Gateway 负责流量检查；私网连接可在 Tunnel、Mesh 和 Cloudflare WAN 之间评估。