Tencent Cloud Lighthouse

核心用法

tencentcloud-lighthouse-skill 是基于腾讯云 TCCLI 的命令行技能，覆盖 Lighthouse 实例的完整操作链路：

身份认证：推荐 OAuth 浏览器登录（高安全、2 小时过期），特殊场景支持 AK/SK 密钥对配置；内置 tccli-oauth-helper.sh 脚本简化非交互式登录流程。

实例管理：查询/启动/停止/重启实例、重置密码、查看系统镜像与应用镜像（Blueprints）。

应用部署：支持在 Lighthouse 实例上部署应用程序，配套部署验证流程。

网络与安全：管理防火墙规则（入站/出站）、配置端口开放策略。

运维监控：查看 CPU、内存、带宽、流量包使用等监控指标，支持告警策略配置。

高级操作：通过 TAT（TencentCloud Automation Tools）在实例上执行远程命令；创建/恢复快照；管理自定义镜像；识别当前实例 ID/IP。

显著优点

1. 一站式覆盖：单技能整合 Lighthouse 全部高频操作，无需切换多工具
2. 安全优先设计：默认 OAuth 认证，临时凭证降低密钥泄露风险；操作分级确认（高危双确认、中危单确认）
3. 防御性编程：强制 Describe 前置查询、禁止盲操作、实时 --help 参数校验、真实 ID 强制校验
4. 跨通道兼容：内置 Markdown 转义规则，处理 URL 下划线、CLI 输出保护，适配微信/Slack/Teams 等渠道
5. 智能路由：根据用户意图自动关联参考文档，降低误操作概率

潜在缺点与局限性

• 时效性依赖：TCCLI 参数与 API 限额可能过时，需实时 --help 校验
• 地域限制：所有操作需显式指定 region，不支持全局默认
• 凭证有效期：OAuth 仅 2 小时有效，长时任务需重新认证
• 产品边界：明确排除 CVM、CBS、VPC 等非 Lighthouse 产品，复杂混合架构需额外技能
• 创建即新建：默认创建新实例，复用现有实例需显式指定 ID

适合人群

• 开发者：快速部署测试环境、CI/CD 集成
• 运维工程师：批量实例管理、监控告警配置
• 轻量级业务用户：建站、博客、小程序后端等低门槛云服务器场景

常规风险

| 等级 | 场景 | 防护机制 |

|------|------|----------|

| 高危 | 删除实例、应用/删除快照、删除镜像 | 双重确认 + 不可逆性声明 |

| 中危 | 启停实例、修改防火墙、执行远程命令 | 单次确认 |

| 低危 | 查询类操作 | 直接执行 |

特别警告：Lighthouse 与 CVM API 不互通，混用将导致操作失败；tccli sts GetCallerIdentity 不支持 OAuth 凭证，验证请用 tccli cvm DescribeRegions。

核心功能概述

tencentcloud-lighthouse-skill 是基于腾讯云官方 TCCLI 工具构建的轻量应用服务器（Lighthouse）管理技能，覆盖实例全生命周期管理、应用自动化部署、实时监控与告警、防火墙策略配置、快照镜像管理及流量包监控等核心运维场景。技能通过封装 tccli 命令行接口，将复杂的云 API 调用转化为标准化的脚本工作流，显著降低用户的操作门槛。

显著优点

1. 官方工具链保障：底层依赖腾讯云官方维护的 tccli 工具，API 调用经过官方签名认证，非第三方逆向实现，接口稳定性与兼容性有长期保障。

2. 安全认证机制：默认采用 OAuth 浏览器登录模式，临时凭证 2 小时自动过期，相比永久有效的 AK/SK 密钥对大幅降低凭证泄露风险。配套提供 tccli-oauth-helper.sh 脚本实现非交互式登录流程。

3. 场景化路由设计：内置清晰的操作路由表，自动引导用户查阅对应的参考文档（instance-management、application-deployment 等），避免盲目执行高风险操作。

4. 风险分级管控：对删除实例、应用快照等不可逆操作实施双重确认，对停机、防火墙修改等中风险操作要求单次确认，查询类操作直接执行，符合最小权限原则。

5. 多通道输出兼容：针对微信、Slack、Teams 等消息渠道的 Markdown 渲染特性，提供 URL 编码、代码块保护等特殊处理规则，防止 CLI 输出中的下划线、星号等特殊字符被误解析。

潜在局限性与风险

1. 凭证时效限制：OAuth 模式 2 小时过期，长时间运维会话需要重新授权，自动化脚本场景下需配合刷新机制或退而求其次使用 AK/SK。

2. 地域参数强制：除 DescribeRegions 外所有操作必须显式指定 region 参数，跨地域管理场景下需用户自行维护地域映射关系。

3. 元数据服务依赖：whoami.sh 脚本依赖腾讯云 VPC 内网的元数据服务（metadata.tencentyun.com），仅在腾讯云实例内执行有效，本地调试或迁移至其他云厂商时功能失效。

4. 无 IMDSv2 支持：当前元数据访问采用 IMDSv1 模式，存在潜在的 SSRF 攻击面，建议后续升级至需令牌认证的 IMDSv2。

5. 参数格式易错：tccli 对参数格式要求严格（如 InstanceIds 需 JSON 数组字符串），用户直接输入时容易因引号、括号不匹配导致命令失败。

适合人群

• 个人开发者及中小企业运维人员，需要快速搭建和管理轻量应用服务器
• 具备基础 Linux/CLI 操作经验，希望避免在控制台与终端间反复切换的用户
• 需要批量执行远程命令、自动化部署应用的技术团队
• 注重凭证安全、倾向使用临时授权而非长期密钥的安全敏感型用户

常规风险提示

• 误操作风险：实例删除、快照回滚为不可逆操作，执行前务必通过 Describe 命令确认目标实例状态
• 网络策略风险：防火墙规则修改可能导致 SSH/RDP 连接中断，建议保留现有连接验证新规则后再断开
• 流量超额风险：轻量服务器采用流量包计费模式，需定期监控流量消耗避免超额产生额外费用
• 凭证泄露风险：如必须使用 AK/SK 模式，务必确保 ~/.tccli 目录权限为 600，避免多用户系统下的未授权访问