前言¶
在 Oceanus 上改 SQL 作业、查运行日志、上传依赖 JAR，常见路径是控制台点选或自己拼 OpenAPI。把同样的事交给通用 Agent，容易出现三类问题：命令和参数靠猜、密钥写进对话或脚本、创建/停止等写操作缺少确认。下面介绍 SkillHub 上的 tencentcloud-oceanus-ops，它把 Oceanus 工作空间运维收敛到一套 Python CLI，并在 Skill 协议里约定触发范围、操作分级和草稿发布门控。
这是什么¶
tencentcloud-oceanus-ops 是面向腾讯云流计算 Oceanus 的智能运维技能包（通用 SKILL.md 格式）。公开元数据显示维护方为 oceanus-team，许可证为 Apache-2.0。
定位可以概括为：用户用自然语言描述意图，Agent 按 Skill 指引执行 scripts/oceanus_ops.py 下的命令，底层通过 TC3-HMAC-SHA256 调用 Oceanus OpenAPI；凭证只从环境变量读取，不写入命令参数。该能力在腾讯云产品文档中有专门章节说明（见文末来源）。
核心功能¶
以下能力均来自官方 Skill 说明与腾讯云文档，按模块归纳。
作业开发与发布¶
- 创建、配置 SQL / JAR 作业；编辑草稿、SQL 语法检查、发布作业配置版本。
作业运行时¶
- 启动、停止作业；触发 Savepoint；查看作业详情。
工作空间与资源¶
- 文件夹：创建、移动、重命名、删除，整理作业树。
- 依赖资源：上传与版本化 JAR、配置文件，查询依赖树。
- 元数据：浏览 catalog、数据库、表；查询地域、工作空间、集群、工作空间变量。
可观测性¶
- 查询作业事件、运行日志（CLS / ES）、COS 日志文件及下载链接。
明确不在范围内¶
Skill 边界说明中列出的不处理项包括：集群生命周期（创建/扩缩/删除）、容器或 Pod 排障、EMR/DLC 等其他引擎、以及 CVM/VPC/账单等通用云资源。未带 Oceanus 语境的泛云任务也不应触发本 Skill。
安装与启用¶
环境要求¶
- Python 3.8+，仅使用标准库（Skill 资产中
requirements.txt当前无第三方依赖）。 - 腾讯云 CAM 密钥通过环境变量注入（勿在对话中粘贴密钥）。
export TENCENTCLOUD_SECRET_ID="Your SecretId"
export TENCENTCLOUD_SECRET_KEY="Your SecretKey"
# 仅临时凭证需要
export TENCENTCLOUD_SECURITY_TOKEN="Temp Token"
macOS / zsh 持久化示例见腾讯云文档：可向 ~/.zshenv 追加上述变量后 source ~/.zshenv。
从 SkillHub 安装¶
社区页面：https://skillhub.cn/skills/tencentcloud-oceanus-ops。SkillHub API 入口（用户提供的官方地址）：https://api.skillhub.cn/u_f4712daa/tencentcloud-oceanus-ops。
secure-skills-cli（SkillHub / 360 技能中心均给出同一话术）：
npx secure-skills-cli add tencentcloud-oceanus-ops
WorkBuddy：打开「专家·技能·连接器 > 技能 > SkillHub」，搜索 tencentcloud-oceanus-ops，点击安装。
CodeBuddy：在 SkillHub 搜索并下载 Skill 压缩包解压后，在「设置 > 技能 > 导入 Skill」中导入。
腾讯云文档写明：任何支持 Skill 加载的 Agent 均可使用，当前推荐通过 SkillHub 安装到 CodeBuddy 或 WorkBuddy。Cursor、Codex CLI、Claude Code 的安装差异在已核对资料中未单独列出，可按各产品通用的 Skill 目录规范放置本技能包；启用前仍需配置上述环境变量。
典型用法¶
CLI 入口¶
Skill 要求 Agent 必须通过下列入口执行真实命令，而不是用 tccli、kubectl 或自编脚本替代：
python scripts/oceanus_ops.py <command> [args]
每条命令须带 --region；用户未指定时，Skill 约定默认 ap-guangzhou（也接受「广州」等地域中文名）。常用参数包括 --workspace_id、--cluster_id、--job_type（1=SQL，2=JAR）、-o json|table|text，变更类操作需 --confirm。
示例（查询类，具体子命令以 references/command-catalog.md 为准）：
python scripts/oceanus_ops.py describe_workspaces --region ap-guangzhou -o json
自然语言开发作业（官方 walkthrough）¶
腾讯云文档给出的流程如下：
- 在对话中引用 Skill，用一句话描述需求，例如：「在广州 Default 空间下，创建一个 MySQL 订单表同步到 Doris 的作业，连接信息使用工作空间下的 ORDER 前缀变量替换。」
- Agent 按 Skill 内 playbooks（如
references/playbooks/create-sql-job.md）生成 SQL 草稿。 - 人工确认草稿无误后，再让 Agent 继续，进入发布流程。
生产环境不要在对话或 SQL 文件中明文暴露连接串与密码；Sink/Source 建议在控制台用隐藏变量或 Catalog 管理。
操作分级（Agent 协议）¶
| 类型 | 示例 | 规则 |
|---|---|---|
| 读 | describe_* |
可直接执行 |
| 写（草稿） | modify_draft、check_sql |
可直接执行，无需 --confirm |
| 变更 | create_job、run_jobs、upload_resource 等 |
需要 --confirm 或用户明确指令 |
| 破坏性 | stop_jobs、delete_folders |
需明确意图 + --confirm，执行前说明影响 |
草稿发布独立于 --confirm：create_job_config 产出草稿摘要后，须用户明确同意（如「确认发布」）才能继续；除非用户明确说「跳过审核」等，Agent 不得使用 --skip_draft_confirm。
适用场景与注意¶
适合谁
- 已在使用 Oceanus、希望用 Agent 完成作业 CRUD、依赖上传、日志与事件排查的开发和运维人员。
- 需要比「直接让 Agent 调 OpenAPI」更可控的审批与凭证隔离的团队（腾讯云文档对比说明了四级审批、草稿门控、环境变量隔离）。
使用注意
- 凭证：仅环境变量；Skill 禁止
echo/printenv等方式泄露TENCENTCLOUD_*。 - 权限：CAM 策略需覆盖文档所列 Oceanus 操作；生产环境建议使用 STS 临时凭证。
- 误操作防护：变更与破坏性操作有
--confirm与草稿确认；仍应在正确的工作空间与地域下操作。 - 触发词：作业、工作空间、依赖、日志，或
space-*、cluster-*、cql-*等资源 ID 模式会触发 Skill；纯 CVM/COS/TKE 等任务不应走本 Skill。
SkillHub 社区侧将该技能归类为 it-ops-security；具体评分与下载量以 SkillHub 页面展示为准（编写时用户提供的 API 页面未能直接抓取正文）。
结尾¶
tencentcloud-oceanus-ops 把 Oceanus 工作空间运维固化为可审计的 CLI + Agent 协议：边界清晰、读写分级、发布前人工看草稿。若你正在 Oceanus 上迭代 SQL/JAR 作业并打算把重复操作交给 Agent，可从 SkillHub 安装并先配好 CAM 环境变量。
- SkillHub 技能页：https://skillhub.cn/skills/tencentcloud-oceanus-ops
- SkillHub API（官方线索）：https://api.skillhub.cn/u_f4712daa/tencentcloud-oceanus-ops
- 腾讯云产品文档：使用 Oceanus Skill 管理作业
