用途：按需求配置一个三节点 AutoMQ 集群。每台机器同时运行 broker 和 controller（KRaft），由 pinned colors-compute 库为选定提供商（Vultr、AWS、Google Cloud、OCI）开通私有网络与防火墙。端口：SSH 22，客户端 9092，私有 controller 与 inter-broker 监听 9093、9094。
主要能力：AutoMQ 在确认 produce 前先写入对象存储，保持上游默认 replication factor 1。存储模式分四种：Adopted Cloudflare R2（使用已有空桶，delete 时保留）、Managed AWS S3、Managed GCS、Managed OCI，后三者由部署创建 data/ops 桶及受限 IAM 身份。OpenTofu state 使用独立桶。默认 TLS 走 Cloudflare DNS-only 记录加 ACME，由节点 0 签发一张覆盖所有 broker 与 bootstrap 名称的 Let's Encrypt 证书并通过对象存储分发；可改为 provider-dns: none 与 automq-tls-mode: private-ca，该模式不建 DNS、无需 Cloudflare token，导出公共 CA 证书。
使用方式：先阅读 references/configuration.md。命令：./green validate（校验目标状态、工具与凭据）、./green build（仅渲染 .colors/）、./green create --dry-run、./green create、./green delete（受保护）。主机侧命令：automq-status、automq-credential（仅 root）、automq-smoke、automq-rotate。连接示例：kcat -b <automq-host>:9092 -X security.protocol=SASL_SSL -X sasl.mechanism=SCRAM-SHA-512 -X sasl.username=automq -X sasl.password=<from automq-credential> -L。private-ca 模式需用 broker 公网 IP 并加 -X ssl.ca.location=.colors/<profile>/automq-acceptance/ca.crt。
安全与限制：凭据不要写入 colors.yml，使用被忽略的 COLORS_PAR_* 导出或提供商环境认证；切勿设置 COLORS_PAR_PROFILE，勿编辑生成的 .colors/ 文件。保持 compute-prevent-destroy: true，销毁需一次性覆盖该保护。adopted 桶在首次采用时必须为空；managed 存储仅新建桶、拒绝采用已有桶；每个桶须专属该部署。AutoMQ 在桶根写入带哈希前缀的键且不支持路径前缀，故不能与其他对象共用桶。客户端主体仅能在配置前缀下的 topic 和 group 生产消费，非超级用户，而 9092 面向互联网。OCI 的 S3 兼容端点忽略 PUT If-Match，改用原生 HEAD/PUT 与原生 ETag。资料中未见收费标准与价格信息。