前言¶
企业把应用和流量迁到云上之后，访问控制、出口过滤、远程办公终端、私网连通往往要同时动 Access、Gateway、WARP、Tunnel 等多条产品线。单靠通用对话模型容易在策略顺序、API 字段、产品与产品边界上给出过时或混用的建议。下面介绍 Cloudflare 官方仓库中的 cloudflare-one Skill：它把架构梳理、配置、排障与评审写成固定工作流，并明确要求在涉及限额、设置项和 UI 路径前先查当前文档。
这是什么¶
cloudflare-one 是 Cloudflare Skills 集合里的一条 Agent Skill，维护方为 Cloudflare。Skill 元数据中的定位是：设计、配置、排障或评审 Cloudflare One 的零信任与 SASE 部署；若任务是从其他厂商迁移，应配合 cloudflare-one-migrations Skill 做迁移规划。
覆盖的产品与主题在官方说明中包括：Access、Gateway、WARP/设备客户端、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、设备态势（device posture）、身份与 IdP 等。Skill 还要求在引用限额、设置、API 字段、分类 ID 或确切 UI 路径之前，从 Cloudflare One 文档、Cloudflare 文档 MCP 服务或 Cloudflare API schema 获取当前信息。
核心功能¶
五类任务与工作流¶
Skill 将用户诉求先分为五类：架构、配置、排障、迁移、评审。随后按固定步骤推进：
- 收集上下文：账户 ID、用户/站点/应用、身份提供商、SCIM/组同步、设备管理、流量路径、合规约束、上线影响范围等。
- 只拉取当前任务涉及产品的文档（Access、Gateway、WARP、Tunnel/Mesh、WAN、DLP、CASB、态势、身份等）。
- 若具备账户访问权限，先查看现有资源再建议或变更：Access 应用/策略/组/IdP、Gateway 规则与列表、设备配置与态势检查、隧道与路由、DNS/解析器、位置与站点等。
- 给出变更集，包含前置条件、验证与回滚；对高风险变更，除非用户明确要求，否则建议先禁用或限定在试点组/站点。
评估提示（Assessment Prompts）¶
Skill 用分主题的提问清单避免「直接开配」。官方资料中列出的方向包括：
- 架构与现状：站点与用户规模、应用与目标、现有 VPN/MPLS/SD-WAN 等连通方式、安全栈与合规、身份与上线/回滚计划。
- Access 与 SaaS 联邦：应用形态（Web、API、SSH/RDP、私网 IP/主机名等）、访问模型（无客户端浏览器、设备客户端私网、服务令牌/mTLS、SaaS SSO 等）、策略需求；配置前要求查阅 Access 应用类型与 Access 策略文档。
- Tunnel 与私网：站点与网段、高可用（单 connector 与生产多 connector）、cloudflared 或 Cloudflare Mesh 节点运行环境、出站连通预检、源站可达性、路由与 Split Tunnel、私网 DNS/解析器策略；新部署优先远程管理/token 隧道。
- Gateway、TLS 与 DLP：DNS/HTTP/L4 流量策略、身份选择器与 SCIM、TLS 解密与证书固定例外、DLP 配置前查阅对应文档；HTTP Forward 动作用到的 Workers 应使用 gateway-workers Skill。
- CASB、设备态势与风险：SaaS 扫描与处置、态势检查与 MDM/EDR、用户风险分在策略中的用法等。
- Cloudflare WAN / 站点连通：站点拓扑、上云方式、路由与冗余、网络防火墙等，变更前查阅 WAN 与 Network Firewall 文档。
护栏（Guardrails）¶
官方 Guardrails 强调产品与 API 用法，例如：
- Access 管应用授权，Gateway 管流量检测与过滤；需求同时涉及身份感知应用访问与网络/Web 安全时，两者都要用。
- 新的 Access 部署应通过可复用策略 API（
/access/policies）创建策略并挂到应用；除非当前 API 文档明确要求，不要在应用创建/更新请求里内联policies。 - 将
reusable: false的应用级策略视为遗留，按文档迁移或替换，不要新建遗留策略。
迁移类任务不在本 Skill 内展开，官方指向 cloudflare-one-migrations（支持从 Zscaler、Palo Alto、传统 VPN/SWG 等向 Cloudflare One 的评估与策略映射）。
安装与启用¶
cloudflare-one 随 cloudflare/skills 仓库分发，安装方式以仓库 README 为准。常见路径如下。
Cursor：从 Cursor Marketplace 安装，或在 Settings > Rules > Add Rule > Remote Rule (Github) 填写 cloudflare/skills。
npx skills（跨平台 CLI）：
npx skills add https://github.com/cloudflare/skills
Claude Code（插件市场）：
/plugin marketplace add cloudflare/skills
/plugin install cloudflare@cloudflare
Codex：
codex plugin marketplace add cloudflare/skills
codex plugin add cloudflare@cloudflare
安装后需新开一轮会话，以便 Skill 按对话主题自动加载。仓库说明还支持 VS Code / GitHub Copilot 从同一 GitHub 源安装插件，以及将 skill 目录复制到各 Agent 约定路径（如 Cursor 的 ~/.cursor/skills/）。
同一 Cloudflare 插件通常 bundled cloudflare MCP 服务器，用于通过 API 与当前开发者文档增强回答；产品细节仍以 Skill 要求的文档与 schema 为准。
典型用法¶
Skill 本身不提供单独的可执行脚本示例，用法是：在已安装 Cloudflare Skills 的 Agent 中，用自然语言描述 Cloudflare One 相关任务，Agent 匹配到 cloudflare-one 后按 Workflow 与 Assessment Prompts 执行。
可对照的官方描述示例：
- 「为我们远程员工设计 Access + Gateway 分阶段上线，先试点一个 IdP 组。」——Agent 应先归类为架构/配置，收集站点、应用、IdP、Split Tunnel 与策略顺序，再查对应文档给出变更集与回滚。
- 「生产 Tunnel 间歇断开，connector 在 Kubernetes。」——归类为排障，按 Tunnel 连通预检与源站可达性清单排查，避免在未查文档时硬编码端点或端口说明。
- 「从现有 SWG 迁到 Cloudflare One。」——Skill 会指向 cloudflare-one-migrations，而不是在本 Skill 内替代完整迁移计划。
Gateway HTTP 策略里 Forward 到 Workers 的编写与评审，应显式使用 gateway-workers Skill，与 cloudflare-one 分工。
适用场景与注意¶
适合谁：负责零信任/SASE 落地的架构师、网络与安全工程师，以及在 Cursor、Claude Code、Codex、Copilot 等环境中用 AI 辅助 Cloudflare One 设计、改配置、写评审意见的团队。
注意：
- Skill 强调「当前文档优先」，限额、UI 路径、API 字段会随产品更新变化，不能依赖模型记忆。
- Access 与 Gateway 职责不同，混用会导致策略缺口；高风险变更应试点并准备回滚。
- 迁移、Workers Forward 等边界任务要切换到同仓库内的姊妹 Skill，避免在一个对话里省略评估步骤。
结尾¶
cloudflare-one 把 Cloudflare One 多产品线的部署与运维收敛成可复用的 Agent 工作流：先分类任务、补上下文、查现行文档，再在护栏内给出可验证的变更建议。官方 Skill 目录与源码见：https://github.com/cloudflare/skills/tree/main/skills/cloudflare-one。
