volcengine-landing-zone

Volcengine Landing Zone

此技能支持 Volcengine Landing Zone 的咨询、分析、设置和管理任务，包括组织设计、账户结构、财务关系、身份、审计和网络基础。

为清晰起见，此技能采用意图路由器，并配有共享操作手册和按路径划分的指南手册。

路径锚点（任何实际执行前解析一次）

此技能中的相对路径，例如 ./skills/volcengine-landing-zone/... 和 ./volcengine-landing-zone-workspace/...，并非相对于任意当前工作目录。 请通过以下两个锚点解析这些路径一次，并在整个运行过程中复用：

• SKILL_ROOT：此技能的绝对安装根目录，其中包含此 SKILL.md。内置蓝图、HTML 模板、tos_activate.py 和 baseline.schema.json 等只读资源均位于此目录。任何 ./skills/volcengine-landing-zone/<x> 路径都解析为 ${SKILL_ROOT}/<x>。
• WORKSPACE_ROOT：此运行的可写运行时根目录。默认位置为 <current working directory>/volcengine-landing-zone-workspace/，除非用户明确指定其他可写位置。执行副本、输出文件和基线运行时状态均位于此目录。任何 ./volcengine-landing-zone-workspace/<x> 路径都解析为 ${WORKSPACE_ROOT}/<x>。
• ${WORKSPACE_ROOT}/confirmed-architecture.json：在 G1 下确认的完整版本化架构。默认分支和自定义分支都会生成此文件；它是用户设计意图的唯一事实来源。
• ${WORKSPACE_ROOT}/landing-zone-context.json：经过筛选、不含敏感信息的 Phase 01 交接契约。它是根据已确认架构和实际 Phase 01 Terraform 输出生成的可重建缓存，而非另一份资源状态。

后续所有读取和写入都使用解析后的绝对路径。不要依赖进程 cwd。

本地文件展示

需要交付面向用户的文件时，请选择当前 Agent 客户端和运行时支持的最合适方式，让用户能够访问实际文件。生成或复制的制品应保存在 ${WORKSPACE_ROOT} 下，且不得修改只读技能资源。不要在聊天中暴露敏感文件内容，也不要仅为展示文件而启动监听服务。任何必要的确认或暂停均由 G1 和 G4 管理。

入口路由（意图路由器）

激活 volcengine-landing-zone 后，必须自动路由到符合用户意图的主路径。不要一开始就让用户选择路径。只有在多个路径确实同时匹配，或缺少继续执行所需的最低限度信息时，才提出后续问题。

触发语义	路由至
landing zone 方案/理念/最佳实践/阶段价值/实施顺序/组织设计建议/账号规划建议/是否值得做/如何落地	Consulting and Solution Design
明确要求搭建/初始化/重构企业 Landing Zone 架构，或按照 Landing Zone 建立/调整组织、OU、核心账号、财务、身份、审计、共享网络基础	Initial Landing Zone Setup
新增账号、开账号、创建账号、baseline、应用 baseline、设置基线、创建 baseline	Account Creation and Baseline Setup
部署具体解决方案/蓝图、部署这个 git 仓库/本地目录/内置包、按需求生成 IaC 并部署、部署网络/安全/数据/应用方案	Solution Deployment
失败恢复、失败重试、修复失败执行、上次执行报错	Failure Recovery

处理原则：

• 用户无需先了解目录结构、阶段编号或蓝图结构。Agent 应直接负责实现目标，并进行必要的参考资料查阅和执行准备。
• Create baseline 和 apply baseline 并未列为首屏的独立路径，但如果用户直接提出这些要求，应直接按其要求处理，不要让用户重新选择路径。
• 根据用户要求的结果进行路由，而不是依据产品或资源术语。VPC、网络、身份或日志记录等名称本身并不意味着应进入 Initial Landing Zone Setup。
• 只有在用户明确要求建立或重新配置企业 Landing Zone 架构或基础时，才进入 Initial Landing Zone Setup。如果用户要部署的是具体可部署的解决方案或软件包，即使它管理的资源也用于 Landing Zone 阶段，也应进入 Solution Deployment。
• 如果请求可能合理地匹配这两个路径，或预期结果不明确，应在路由前提出一个澄清问题。路由尚未确定时，不要触发 G1，也不要交付 Landing Zone 设置确认文件。

面向用户的沟通

• 使用业务语言，并根据当前任务调整回复。默认先说明结论、重要影响和下一项有用操作；只有在用户提出要求或排查问题需要时，才展示命令、路径、状态详情或编排机制。
• 根据已确认的设计和实时只读状态，确定安全默认值并发现可获取的值。只询问无法可靠推导且当前步骤必需的信息；将相关问题合并询问，避免将工作流变成逐项收集字段的访谈。
• 在硬性门槛允许的情况下，将信息收集、预检、工作区准备和计划生成放在后台进行。只读准备无需请求确认；云端写入的授权由 G2 管理。
• 采用自然的回复结构，而不是固定的状态模板。相关时，清楚区分已完成的工作、阻碍因素、重要后续事项和下一步操作。

任何实际执行前的硬性门槛

这些门槛用于保护用户决策和云端状态。严格执行；周边对话应自然灵活。

G1. 方案确认（初始落地区设置）

• G1 仅在路由已明确选择 Initial Landing Zone Setup 后适用。仅激活技能或提及组织／网络资源并不足以触发 G1。此时，交付 ${SKILL_ROOT}/assets/html/landing-zone-solution-plan.html，请用户确认推荐架构或提出修改，并等待回复。不要先开始预检或云操作。
• 用户直接确认即选择 recommended-v1。仅补齐缺失的执行设置，将完整设计生成至 ${WORKSPACE_ROOT}/confirmed-architecture.json，依据 contract.schema.json 验证，并记录其准确的 SHA-256。
• 对于用户要求的修改，仅将业务差异应用于 recommended-v1，生成完整的架构 JSON 及其 Markdown 投影，交付 Markdown，并获得用户对该实际设计的确认。用户无需自行编写内部键或 Terraform 对象。
• 之后对已确认架构字节的任何更改都会使 G1 确认失效，必须重新展示更新后的设计并再次获得确认。

G2. 阶段确认（每项部署任务／阶段）

• 在每个写入云端的阶段开始前，完成所有允许的只读发现、协调、状态检查、初始化和规划。展示已解析的目标、目标与身份的对应策略，以及重要的创建、更新、替换、删除和非 Terraform 写入影响，然后取得明确确认。
• 确认仅授权该阶段已保存的计划及列出的 CLI/API 写入操作，不适用于其他阶段或任务。目标、输入、蓝图修订版、已确认架构摘要、写入集或已保存计划发生任何变化，都需要重新确认。
• 确认后，连续执行所有已涵盖的写入操作，无需逐个资源征求确认。01-organization 至 05-network 是独立阶段；账号创建和基线应用是独立阶段；一次 Solution Deployment 为一个阶段。

G3. 工作区隔离

触发条件：任何 Terraform 操作或写入操作。 操作：实际执行只能在 ${WORKSPACE_ROOT}/（即 ./volcengine-landing-zone-workspace/）内进行。请参阅上文中的路径锚点。 禁止事项：不得从 ${SKILL_ROOT}/assets/blueprints/ 执行操作，也不得将文件写回此目录。内置蓝图源始终为只读。 自检：我是否在 ${WORKSPACE_ROOT} 下的工作区副本中运行，而不是在内置蓝图源中运行？如果不是，请停止。

G4. 文件审阅暂停

触发条件：某阶段生成了需要用户查看的本地文件，例如初始密码、登录信息或摘要报告。 操作：按照上文的本地文件展示规则交付实际文件，告知用户进行审阅，并在此暂停，等待下一条指示。 禁止事项：不要因为打算稍后一起展示多个文件而跳过暂停。G2 不会免除这项暂停。不要在聊天中完整复述初始密码，也不要用文字转述代替文件交付。 自检：生成敏感文件或供用户审阅的文件后，我是否按照展示协议打开或交付了该文件，然后停止？如果没有，请停止。

G5. 咨询仅限只读

触发条件：用户意图是咨询、设计、评估，或了解概念、顺序或价值。 操作：仅提供说明和建议。 禁止事项：不要运行预检，不要开始凭据设置，不要运行 Terraform，也不要执行任何写入操作，即使这样做会更方便。 自检：用户是否明确要求实际执行？如果没有，只作说明，不要执行操作。

始终依据官方 Volcengine Landing Zone 方法论进行设计和实施。

路径

咨询与解决方案设计

• 当用户希望在实际执行前了解概念、阶段价值、推出顺序、组织设计建议或切实可行的落地路径时，使用此路径。

初始 Landing Zone 设置

• 按照 guidebook.md 中的执行流程操作前，先完成 G1。将 G2 应用于每个会写入云端的阶段。
• 各阶段的具体说明：
  • 01-organization.md
  • 02-finance.md
  • 03-identity.md
  • 04-log.md
  • 05-network.md

账户创建与基线设置

• 整体执行流程见 guidebook.md。
• 账户创建和基线应用分别有各自的计划和 G2 确认。

解决方案部署

• 整体执行流程见 guidebook.md。
• 使用此路径验证并部署解决方案包。明确目标、源版本和实际影响后，应用 G2。

故障恢复

• 恢复流程见 failure-recovery.md。
• 使用此路径恢复 landing-zone-setup、account-factory account create、account-factory baseline apply 和 solution-deployment 的故障。

参考文件

软性与硬性分层：所有硬性执行要求，例如解决方案确认、限定阶段的授权、工作区隔离、文件暂停和只读咨询，都仅由上述 G1-G5 定义。以下参考文件仅包含特定路径的详细信息；应引用硬性关卡编号，而不是重复陈述规则。

• 机械式预检： preflight-checks.md
• Landing Zone 设置： guidebook.md
• 账户工厂工作流： guidebook.md
• 解决方案部署工作流： guidebook.md
• 故障恢复： failure-recovery.md
• Landing Zone 运行时契约： contract.schema.json