用途：这是一个 Blue 工作流，把单个 colors.yml 变成可运行的 NetBird Agent Network 演示环境。用 OpenTofu 创建机器、提供商防火墙和两条 Cloudflare 记录（基础名与通配符）；用 Ansible 部署 Traefik、合并的 netbird-server、agent-network-only 模式的仪表盘、私有模式的 NetBird 反向代理、控制平面（provider、guardrail、policy、global limit）以及隔离的 agent 容器。演示主张：agent 无互联网路径（内部 Docker 网络与 DOCKER-USER 规则两道独立边界），其访问 LLM 的唯一路由是经 WireGuard 隧道的无密钥 agent-network 端点，每个请求携带对端身份、通过策略并被计量。
主要能力与依赖：三种实现均直接依赖 colors-compute（提交 ae28ea74...），ONCE（a1fe1be7...）仅提供应用域辅助。库负责提供商选择、必需选项、凭据、OpenTofu 的 VM/防火墙/密钥资源、远程 R2/S3 状态、身份检查、租约与托管密钥清理。不要在此添加提供商注册表或 VM 模板。
用法：uv 运行启动器，create 和 delete 还需 OpenTofu 与 Ansible。命令：./blue build 渲染 .colors/<profile>/，无提供商调用与凭据；./blue create --dry-run 走流程但不产生副作用；./blue create 真实收敛；./blue delete 受保护，需要一次运行覆盖。退出码 2 表示校验或用法失败并一次列出全部问题。启动器从工作目录向上查找 colors.yml。
准备与限制：主机名及其通配符须在 Cloudflare 区域空闲，DNS 阶段创建二者且不接管外来记录。需在 .envrc.private 设置五个凭据（计算提供商、Cloudflare、两个 R2 密钥、Anthropic 密钥）。故意使用假的 COLORS_PAR_ANTHROPIC_API_KEY 是受支持模式，验收会期望经代理转发 Anthropic 的 401，仍能证明隔离、隧道、策略与密钥注入。此部署按设计可丢弃：无备份，恢复方式为受保护删除后重建，下次 create 会重新生成端点主机名与所有对端身份。colors.yml 是唯一可编辑文件，.colors/ 为生成物，不可编辑、作为源读取或提交；凭据为 .envrc.private 中的 COLORS_PAR_<UPPER_SNAKE_KEY>，不得写入 colors.yml 或文档；不得削弱提交状态中的 compute-prevent-destroy。主机提供 agent-network-status、agent-network-smoke、agent-network-bootstrap，仪表盘管理员密码生成于 /etc/agent-network/secrets/admin_password。软件包版本升级后可提供更多兼容提供商，不支持的能力会在计算变更前失败。