用途：设计、配置、排障或审查 Cloudflare One 的 Zero Trust 与 SASE 部署。引用限制、设置、API 字段或界面路径前，应先从 Cloudflare One 文档、Cloudflare 文档 MCP 服务器或 API schema 获取最新信息。
主要能力：按架构、配置、排障、迁移、审查分类任务；收集账号 ID、用户与站点、身份提供商、SCIM 组同步、设备管理、流量路径、合规约束与变更影响范围；按涉及产品检索 Access、Gateway、WARP 设备客户端、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、设备态势或身份文档；有账号权限时先检查现有 Access 应用/策略/组/IdP、Gateway 规则与列表、设备配置文件与态势检查、隧道与路由、DNS 解析器设置、位置与站点；提出含前置条件、验证与回滚的变更方案，高风险变更默认先禁用或限定试点组/站点。
使用方式：先做评估提问，避免直接进入配置。架构层面确认站点与用户、应用与目标、连接方式、安全栈、身份与上线计划；Access 与 SaaS 联邦确认应用形态、访问模型、策略需求与 SAML/OIDC 细节；Tunnel 与私有网络确认站点网段、高可用、运行环境、出站连通性、源站可达性、路由与管理模型；Gateway、TLS 与 DLP 确认流量控制、身份、TLS 检查与 DLP 需求；CASB、设备态势与风险确认 SaaS 厂商、检查项、风险评分用途；Cloudflare WAN 确认站点拓扑、上联类型、路由归属与冗余。
限制与注意：Access 控制应用授权，Gateway 控制流量检查与过滤，需求跨两者时同时使用。新建 Access 部署应通过可复用策略 API（/access/policies）创建策略并附加到应用，除非当前 API 文档明确要求应用级策略；应用级策略 reusable: false 视为旧式，应迁移或替换。公共主机名 Access 应用可无客户端，私有目标应用需要 WARP/设备客户端或其他网络上联加路由与 DNS 解析。基于组的策略依赖 IdP 组声明或 SCIM，缺少组同步时不要臆造组选择器。私有主机名需显式 DNS 路由/解析。加密 Web 流量的 HTTP 检查与 DLP 需要 TLS 检查并规划 Do Not Inspect 例外。Gateway 的 DNS、Network、HTTP、Egress 策略评估语义不同，解释优先级前应查最新文档。新策略默认先禁用并限定试点。设备客户端由注册规则（Access 中 warp 类型应用）与设备配置文件控制；无头设备用服务令牌注册，以 non_identity@[team-domain].cloudflareaccess.com 认证且无组成员关系。Split Tunnel 的 Include/Exclude 按配置文件设置，不能混用；条目需与隧道路由双向对齐。MDM 参数会覆盖仪表板配置。生产环境应运行多个 cloudflared 连接器，优先不同主机，新部署默认使用基于令牌的远程管理隧道。CASB API 为带外周期性扫描，非实时内联执行；用户风险评分为异步行为评分。SSH 场景可用 Zero Trust Infrastructure Access 或浏览器渲染的无客户端访问。日志方面，Gateway 活动日志用于排查放行/拦截，Access 审计日志用于认证决策，Shadow IT 发现需 TLS 检查，DEX 提供连接诊断。具体价格、套餐与平台支持等资料暂未提供。