用途：在单台 VM 上以单机拓扑部署 ClickStack（ClickHouse、MongoDB、HyperDX OpenTelemetry 采集器与 UI），通过非机密的 colors.yml 操作整套部署。修改配置或执行生命周期操作前应先阅读 references/configuration.md。
主要能力：一个公共主机同时承载两半栈，Caddy 终止 TLS，将 /v1/{logs,traces,metrics} 的 OTLP/HTTP 代理到采集器，其余路径提供 HyperDX UI。OTLP 导出器指向 https://<clickstack-host>，并以服务器生成的摄入密钥作为 authorization 头。用 clickstack-ssh-sources 和 clickstack-http-sources 维护中立 CIDR 允许列表；计算层由固定版本的 colors-compute 库负责 provider 选择、远程 S3/R2 状态、部署协调、机器密钥、网络策略和单节点。
使用方式：构建后可先 ./blue build，再 ./blue create --dry-run 与 ./blue create。首次真实 create 若无 vultr-ssh-keys（或 digitalocean-ssh-keys），会生成 ~/.ssh/<profile> 并在 provider 注册；成功删除时最后移除。收敛过程创建 clickstack-admin-email 指定的初始 HyperDX 团队，并通过 OpAMP 配置采集器，此前采集器不绑定任何 OTLP 接收器。凭据需放入被 gitignore 的 .envrc.private，以 COLORS_PAR_* 变量保存。读取生成的密码与摄入密钥可用：ssh <profile> 'cat /etc/clickstack/admin.env'、ssh <profile> 'cat /etc/clickstack/ingestion.env'。
限制与安全：勿设置 COLORS_PAR_PROFILE，勿编辑或提交 .colors/；保持 compute-prevent-destroy: true，删除需单独显式授权与一次性环境覆盖。已存在的 <profile>/clickstack-infrastructure.tfstate 会在计算变更前被拒绝，不可删除它绕过，应显式迁移所有权或先按原版本销毁旧部署。不可读状态与 provider 不匹配会 fail closed。仅公开 Caddy 80/443 与仅密钥 SSH；管理密码和摄入密钥在服务器生成且不外传。密钥位于检出目录之外，克隆仓库不携带访问权；密钥轮换即重建。应用需要受支持的 Ubuntu 镜像及足够内存。其余平台、收费与效果细节资料未提供。