核心用法
volcengine-cli Skill 封装了火山引擎官方 CLI 工具 ve，提供从身份认证到资源运维的完整工作流。初始化阶段通过 ve sts GetCallerIdentity 检测凭证有效性，支持 Console Login（OAuth 2.0 + PKCE）、AK/SK 长期凭证、SSO 企业联邦三种认证模式。默认采用 ve login --remote 设备流，用户浏览器授权后回填 Authorization code 完成登录；CI/CD 场景可切换为 AK/SK 或 STS 临时凭证。
资源操作层面，Skill 区分只读（Describe/List/Get/Query）与写入/高危（Create/Delete/Modify/Run 等）两类行为：只读命令直接执行，写入命令强制展示完整 CLI 并等待用户确认，高危操作额外要求 DryRun 预校验。参数传递支持 Flat（--Key.Value 点号嵌套）与 JSON Body（--body '{...}'）两种格式，通过 ve --help 或 scripts/fetch_swagger.py 自动推断。
显著优点
- 认证体系完整：OAuth 设备流避免终端浏览器依赖，AK/SK 适合自动化脚本，SSO 满足企业多账号联邦需求。
- 操作安全分级：DryRun 预校验、命令预览、用户确认三重机制降低误操作风险。
- 全服务覆盖：ECS、VPC、CLB、RDS、Redis、VKE、IAM 等主流服务均支持，API 版本自动对齐。
- 异步资源轮询：内置
while轮询模板，解决实例创建、集群初始化等长耗时任务的进度跟踪。
潜在缺点与局限性
- 版本敏感：OAuth 登录要求
ve >= 1.0.42，SSO 要求>= 1.0.38，旧版本需手动升级。 - 区域锁定：
ve configure profile后，--region标志与环境变量无法覆盖已固化配置，需切换 profile。 - PKCE 状态机脆弱：
ve login --remote若提前退出或 URL 预拉取，会导致 PKCE challenge 失效，必须严格通过ve_login_remote.sh脚本编排。 - 凭证泄露风险：命令行参数传递 AK/SK 会进入 shell history，Skill 建议用户本地粘贴执行而非由 Agent 直接代输。
适合人群
- 云运维工程师：需要批量管理火山引擎资源、编写基础设施即代码（IaC）脚本。
- 开发者：在 CI/CD 流水线中自动部署 ECS/VKE 实例、配置网络与安全组。
- 企业管理员：通过 SSO 集成 Cloud Identity Center，实现多账号权限联邦。
常规风险
- 权限过大：
ve默认使用配置中的最大权限，若误执行 Delete/Terminate 可能导致数据丢失。 - 会话过期：OAuth 与 STS 凭证存在有效期，长时间任务需重新登录或刷新 Token。
- DryRun 误判：部分 API DryRun 仅校验参数格式，不验证资源配额、可用区库存，实际执行仍可能失败。