核心用法
本 Skill 提供阿里云 Cloud Firewall（云防火墙）的完整 OpenAPI 管理能力，采用官方 SDK 或 OpenAPI Explorer 作为调用方式。核心工作流遵循"确认-发现-执行-验证"四步模型：首先确认目标地域与资源标识，其次通过元数据 API 发现可用接口及参数要求，然后执行具体操作，最后通过 Describe/List 类 API 验证结果。
高频操作模式涵盖三类场景：
- 资源盘点：使用
List*/Describe*接口获取当前防火墙规则、策略组、实例等资源清单 - 配置变更：使用
Create*/Update*/Modify*/Set*接口创建或修改访问控制策略、边界防火墙配置等 - 状态诊断：使用
Get*/Query*/Describe*Status接口排查策略生效状态、流量统计及异常事件
认证方式严格遵循优先级：环境变量（ALICLOUD_ACCESS_KEY_ID / ALICLOUD_ACCESS_KEY_SECRET / ALICLOUD_REGION_ID）优先于共享配置文件（~/.alibabacloud/credentials）。地域策略允许在未设置时智能推断或主动询问用户。
元数据发现能力是该 Skill 的差异化特性：通过 list_openapi_meta_apis.py 脚本可动态拉取产品代码 Cloudfw 及版本 2017-12-07 的完整 API 清单与 Schema，降低手工查阅文档的成本。所有输出产物默认写入 output/alicloud-security-cloudfw/ 目录。
显著优点
1. 官方权威：基于阿里云官方 OpenAPI 与 SDK，非第三方逆向实现，接口兼容性与长期维护有保障
2. 动态发现：元数据优先策略避免硬编码 API 列表，自动适配新版本的接口变更
3. 合规认证：遵循阿里云 AccessKey 管理最佳实践，支持环境变量与凭证文件双模式
4. 结构化输出：强制目录隔离产物，便于审计追踪与自动化流水线集成
潜在缺点与局限性
1. 学习成本：需熟悉阿里云 RAM 权限体系、VPC 网络架构及防火墙策略语义，非开箱即用
2. 区域限制：部分 Cloud Firewall 功能存在地域可用性差异，跨地域操作需额外校验
3. RPC 风格：采用阿里云传统 RPC 而非 RESTful 风格，参数构造相对冗长
4. 无图形界面：纯命令行/SDK 驱动，缺乏可视化策略模拟与冲突检测能力
适合人群
- 云安全工程师：批量管理多账号/多地域的防火墙策略
- DevOps/SRE 团队：将防火墙配置纳入 IaC（Infrastructure as Code）流水线
- 合规审计人员：程序化导出规则清单用于安全基线核查
- 阿里云 MSP 合作伙伴：为客户代维时标准化运维操作
常规风险
| 风险类型 | 具体说明 | 缓解建议 |
|---------|---------|---------|
| **权限风险** | AccessKey 泄露可导致云资源被恶意操控 | 优先使用 RAM 子账号+最小权限策略，定期轮换密钥 |
| **配置风险** | 误删或误改防火墙规则可能导致业务中断 | 变更前执行 `Describe*` 备份现有配置，分灰度验证 |
| **区域风险** | 错误地域参数导致 API 404 或操作非目标资源 | 严格执行地域确认步骤，利用 `ALICLOUD_REGION_ID` 环境变量兜底 |
| **依赖风险** | SDK 版本迭代可能引入行为变更 | 锁定 `aliyun-python-sdk-core` 及 `aliyun-python-sdk-cloudfw` 版本 |
技术规格速览
- 产品代码:
Cloudfw - 默认版本:
2017-12-07 - 调用方式: OpenAPI RPC / 官方 SDK / OpenAPI Explorer
- 输出目录:
output/alicloud-security-cloudfw/