用途：面向 Palo Alto Panorama 的运维技能，以 MCP Server 形式提供（stdio 传输），主要用于只读审计与验证。资料建议将策略写入置于 ServiceNow 变更请求（CR）之后。
主要能力：设备组与受管防火墙；模板与模板堆栈；安全策略规则搜索；NAT 策略审查；地址对象、服务、标签与区域；提交队列与最近作业状态。
必要用法：需设置 PANOS_HOSTNAME、PANOS_API_KEY 环境变量，命令来自 $PANOS_MCP_CMD。调用格式示例：python3 $MCP_CALL "$PANOS_MCP_CMD" TOOL_NAME '{"param":"value"}'。
适用场景：判断“主机 A 能否经 Palo Alto 到达主机 B”；策略卫生审查与重复规则清理；Panorama 管理环境的变更前依赖分析；已批准变更后的提交验证。
规则与限制：未经批准不得推送防火墙策略；写入后必须检查提交状态；用命中计数与日志验证结果。失败时应先确认上述环境变量与连接，工具报错需如实上报，不得猜测结果。只读调用可重试一次；改变状态或发送消息的调用超时不能证明失败，需先核对当前状态或投递结果，保留审批与变更关卡，结果未知时不得重复执行。