用途：基于阿里云 CS OpenAPI 官方客户端管理 ACS 集群全生命周期，包括创建、查询、连接、资源清点与删除。创建或删除前需先阅读 references/cluster-lifecycle.md；若 VPC 和 VSwitch 不存在，先使用 $aliyun-vpc-manage，集群就绪后再使用 $alicloud-acs-agent-sandbox。
环境准备：设置 ALIBABACLOUD_ACCESS_KEY_ID、ALIBABACLOUD_ACCESS_KEY_SECRET，可选 ALIBABACLOUD_SECURITY_TOKEN，并设置 ALIBABACLOUD_REGION_ID（如 cn-hangzhou）。创建网络前需确认账号已授权 AliyunCSManagedCsiPluginRole（含 AliyunCSManagedCsiPluginRolePolicy）与 AliyunCSManagedCsiProvisionerRole（含 AliyunCSManagedCsiProvisionerRolePolicy）两个账户级一次性角色。
安装：python3 -m pip install "alibabacloud-cs20151215==7.0.4" "alibabacloud-tea-openapi"
主要用法：可用 create 配合 --dry-run 在无凭据、无变更情况下预览创建请求，确认成本与公网 API 暴露后再正式运行。创建后需确认 state=running、profile=Acs、VPC/VSwitch 正确、虚拟节点健康、managed-coredns 插件存活且有 kube-dns Service。可用 kubeconfig 申请短期 KubeConfig（如 --temporary-minutes 60），并作为机密保护。插件管理请用 addon-status 查看状态（其中省略 config，因可能含管理 API 密钥），安装或修改配置只通过权限 0600 的文件传入。
安全与限制：切勿打印、提交或复制 KubeConfig、AccessKey、证书、组件 API 密钥或 bearer token 到证据中。--public-api 与 --snat 属可计费网络变更；非一次性环境建议使用至少两个不同可用区的 VSwitch；VPC、VSwitch、Service 等 CIDR 不得重叠。构建与验证期间保持删除保护开启，仅在批准拆除前关闭。删除前务必运行 resources --with-addon-resources，删除 API 可能保留 ALB、SLS、PrivateZone 等资源。delete --delete-associated 具破坏性，需 --confirm-cluster-id 与 --cluster-id 完全匹配。不要假设 OpenAPI 任务返回即完成，需轮询状态并核对云资源清单；集群 NotFound 不代表所有 ACS Pod ENI 已消失，删除 VSwitch 前应轮询 VPC 网络接口。输出与证据写入 output/alicloud-acs-cluster/<operation>/，KubeConfig 单独存放于 mktemp 路径并设 0600，拆除后删除。