前言¶
企業把應用和流量遷到雲上之後，訪問控制、出口過濾、遠程辦公終端、私網連通往往要同時動 Access、Gateway、WARP、Tunnel 等多條產品線。單靠通用對話模型容易在策略順序、API 字段、產品與產品邊界上給出過時或混用的建議。下面介紹 Cloudflare 官方倉庫中的 cloudflare-one Skill：它把架構梳理、配置、排障與評審寫成固定工作流，並明確要求在涉及限額、設置項和 UI 路徑前先查當前文檔。
這是什麼¶
cloudflare-one 是 Cloudflare Skills 集合裏的一條 Agent Skill，維護方爲 Cloudflare。Skill 元數據中的定位是：設計、配置、排障或評審 Cloudflare One 的零信任與 SASE 部署；若任務是從其他廠商遷移，應配合 cloudflare-one-migrations Skill 做遷移規劃。
覆蓋的產品與主題在官方說明中包括：Access、Gateway、WARP/設備客戶端、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、設備態勢（device posture）、身份與 IdP 等。Skill 還要求在引用限額、設置、API 字段、分類 ID 或確切 UI 路徑之前，從 Cloudflare One 文檔、Cloudflare 文檔 MCP 服務或 Cloudflare API schema 獲取當前信息。
核心功能¶
五類任務與工作流¶
Skill 將用戶訴求先分爲五類：架構、配置、排障、遷移、評審。隨後按固定步驟推進：
- 收集上下文：賬戶 ID、用戶/站點/應用、身份提供商、SCIM/組同步、設備管理、流量路徑、合規約束、上線影響範圍等。
- 只拉取當前任務涉及產品的文檔（Access、Gateway、WARP、Tunnel/Mesh、WAN、DLP、CASB、態勢、身份等）。
- 若具備賬戶訪問權限，先查看現有資源再建議或變更：Access 應用/策略/組/IdP、Gateway 規則與列表、設備配置與態勢檢查、隧道與路由、DNS/解析器、位置與站點等。
- 給出變更集，包含前置條件、驗證與回滾；對高風險變更，除非用戶明確要求，否則建議先禁用或限定在試點組/站點。
評估提示（Assessment Prompts）¶
Skill 用分主題的提問清單避免「直接開配」。官方資料中列出的方向包括：
- 架構與現狀：站點與用戶規模、應用與目標、現有 VPN/MPLS/SD-WAN 等連通方式、安全棧與合規、身份與上線/回滾計劃。
- Access 與 SaaS 聯邦：應用形態（Web、API、SSH/RDP、私網 IP/主機名等）、訪問模型（無客戶端瀏覽器、設備客戶端私網、服務令牌/mTLS、SaaS SSO 等）、策略需求；配置前要求查閱 Access 應用類型與 Access 策略文檔。
- Tunnel 與私網：站點與網段、高可用（單 connector 與生產多 connector）、cloudflared 或 Cloudflare Mesh 節點運行環境、出站連通預檢、源站可達性、路由與 Split Tunnel、私網 DNS/解析器策略；新部署優先遠程管理/token 隧道。
- Gateway、TLS 與 DLP：DNS/HTTP/L4 流量策略、身份選擇器與 SCIM、TLS 解密與證書固定例外、DLP 配置前查閱對應文檔；HTTP Forward 動作用到的 Workers 應使用 gateway-workers Skill。
- CASB、設備態勢與風險：SaaS 掃描與處置、態勢檢查與 MDM/EDR、用戶風險分在策略中的用法等。
- Cloudflare WAN / 站點連通：站點拓撲、上雲方式、路由與冗餘、網絡防火牆等，變更前查閱 WAN 與 Network Firewall 文檔。
護欄（Guardrails）¶
官方 Guardrails 強調產品與 API 用法，例如：
- Access 管應用授權，Gateway 管流量檢測與過濾；需求同時涉及身份感知應用訪問與網絡/Web 安全時，兩者都要用。
- 新的 Access 部署應通過可複用策略 API（
/access/policies）創建策略並掛到應用；除非當前 API 文檔明確要求，不要在應用創建/更新請求裏內聯policies。 - 將
reusable: false的應用級策略視爲遺留，按文檔遷移或替換，不要新建遺留策略。
遷移類任務不在本 Skill 內展開，官方指向 cloudflare-one-migrations（支持從 Zscaler、Palo Alto、傳統 VPN/SWG 等向 Cloudflare One 的評估與策略映射）。
安裝與啓用¶
cloudflare-one 隨 cloudflare/skills 倉庫分發，安裝方式以倉庫 README 爲準。常見路徑如下。
Cursor：從 Cursor Marketplace 安裝，或在 Settings > Rules > Add Rule > Remote Rule (Github) 填寫 cloudflare/skills。
npx skills（跨平臺 CLI）：
npx skills add https://github.com/cloudflare/skills
Claude Code（插件市場）：
/plugin marketplace add cloudflare/skills
/plugin install cloudflare@cloudflare
Codex：
codex plugin marketplace add cloudflare/skills
codex plugin add cloudflare@cloudflare
安裝後需新開一輪會話，以便 Skill 按對話主題自動加載。倉庫說明還支持 VS Code / GitHub Copilot 從同一 GitHub 源安裝插件，以及將 skill 目錄複製到各 Agent 約定路徑（如 Cursor 的 ~/.cursor/skills/）。
同一 Cloudflare 插件通常 bundled cloudflare MCP 服務器，用於通過 API 與當前開發者文檔增強回答；產品細節仍以 Skill 要求的文檔與 schema 爲準。
典型用法¶
Skill 本身不提供單獨的可執行腳本示例，用法是：在已安裝 Cloudflare Skills 的 Agent 中，用自然語言描述 Cloudflare One 相關任務，Agent 匹配到 cloudflare-one 後按 Workflow 與 Assessment Prompts 執行。
可對照的官方描述示例：
- 「爲我們遠程員工設計 Access + Gateway 分階段上線，先試點一個 IdP 組。」——Agent 應先歸類爲架構/配置，收集站點、應用、IdP、Split Tunnel 與策略順序，再查對應文檔給出變更集與回滾。
- 「生產 Tunnel 間歇斷開，connector 在 Kubernetes。」——歸類爲排障，按 Tunnel 連通預檢與源站可達性清單排查，避免在未查文檔時硬編碼端點或端口說明。
- 「從現有 SWG 遷到 Cloudflare One。」——Skill 會指向 cloudflare-one-migrations，而不是在本 Skill 內替代完整遷移計劃。
Gateway HTTP 策略裏 Forward 到 Workers 的編寫與評審，應顯式使用 gateway-workers Skill，與 cloudflare-one 分工。
適用場景與注意¶
適合誰：負責零信任/SASE 落地的架構師、網絡與安全工程師，以及在 Cursor、Claude Code、Codex、Copilot 等環境中用 AI 輔助 Cloudflare One 設計、改配置、寫評審意見的團隊。
注意：
- Skill 強調「當前文檔優先」，限額、UI 路徑、API 字段會隨產品更新變化，不能依賴模型記憶。
- Access 與 Gateway 職責不同，混用會導致策略缺口；高風險變更應試點並準備回滾。
- 遷移、Workers Forward 等邊界任務要切換到同倉庫內的姊妹 Skill，避免在一個對話裏省略評估步驟。
結尾¶
cloudflare-one 把 Cloudflare One 多產品線的部署與運維收斂成可複用的 Agent 工作流：先分類任務、補上下文、查現行文檔，再在護欄內給出可驗證的變更建議。官方 Skill 目錄與源碼見：https://github.com/cloudflare/skills/tree/main/skills/cloudflare-one。
