用途：通过 colors-compute 与 Green 配置并运行私有 ClickHouse 数据栈，包含三个 ClickHouse/Keeper 节点和一台 Metabase/Postgres 服务器，Cloudflare 名称解析到 WireGuard 地址，ClickHouse 与 Metabase 服务端口不公开。
修改期望状态或执行真实生命周期操作前，先阅读 references/configuration.md。
主要能力：本地 dbt 对复制示例模型做种子数据与测试，在 Metabase 中注册 ClickHouse，执行端到端验收检查，并验证每个 OpenTofu 状态无漂移。
使用方式：命令为 ./green build、./green create --dry-run、./green create、./green delete。真实生命周期操作前先运行 build 和 create --dry-run。create 后浏览 http://metabase.<domain>:3000，并通过 uv run dbt ... 从 .colors/<profile>/clickhouse-dbt/ 运行 dbt，二者都需要受管 WireGuard 接口。WireGuard 外访问 Metabase 时用 SSH 本地端口转发经可解析私有 DNS 的跳板机，不要公开 Metabase 或削弱防火墙。
安全：密钥只放在 gitignore 的 .envrc.private 中，以 COLORS_PAR_* 导出；切勿设置 COLORS_PAR_PROFILE；切勿编辑或提交 .colors/；保持 compute-prevent-destroy: true，仅在一次授权删除时覆盖。SSH 私钥与 WireGuard 私钥都不得提交。
配置：使用 colors-compute，选择 provider-compute 并提供对应设置；生成 SSH 密钥位于 ~/.ssh/<profile>，ssh-private-key-path 可选。已有旧版包自有 compute 状态的部署需要显式状态迁移，生命周期会在创建资源前拒绝该状态；更新启动器不转移状态所有权。