用途：在单台 VM 上部署 ClickStack 可观测性栈（ClickHouse、MongoDB、HyperDX OpenTelemetry collector 与 UI）。所有配置来自非机密的 colors.yml；修改配置或执行生命周期操作前应阅读 references/configuration.md。
主要能力：单一公共主机同时承载两部分栈，Caddy 终止 TLS，将 /v1/{logs,traces,metrics} 上的 OTLP/HTTP 代理至 collector，其余流量提供 HyperDX UI。使用 OTLP exporter 指向 https://<clickstack-host>，授权头使用服务器生成的 ingestion key。计算归属由固定的 colors-compute 库负责：provider 选择、远程 S3/R2 状态、部署协调、machine keys、网络策略和单节点。本包提供单例拓扑与 SSH/HTTP 入口，并使用返回的地址、登录用户和 SSH 身份执行应用步骤。
使用方式：使用 clickstack-ssh-sources 和 clickstack-http-sources 配置中立 CIDR 白名单。凭据应放在被 gitignore 的 .envrc.private 中作为 COLORS_PAR_* 变量；切勿设置 COLORS_PAR_PROFILE 或编辑/提交 .colors/。保持 compute-prevent-destroy: true。真实创建前先构建并 dry-run： ./red build ./red create --dry-run ./red create
限制与注意事项：部署需要受支持的 Ubuntu 镜像，以及供 ClickHouse、MongoDB 和 HyperDX 使用的足够内存。已有的 <profile>/clickstack-infrastructure.tfstate 会在计算变更前被拒绝；不要为绕过检查而删除它，应先显式迁移所有权或通过原版本销毁旧部署。不可读状态与 provider 不匹配会失败关闭。仅 Caddy 80/443 和仅密钥 SSH 公开；管理员密码与 ingestion key 在服务器上生成且不会离开服务器。未在 colors.yml 中提供 vultr-ssh-keys（或 digitalocean-ssh-keys）时，首次真实创建会生成 ~/.ssh/<profile> 并在 provider 注册，成功删除时最后移除。密钥位于检出目录外，需有意复制。收敛过程会创建由 clickstack-admin-email 命名的初始 HyperDX 团队，这是必需的。收敛还会写入 ~/.ssh/config 块，可直接读取管理员密码和 ingestion key： ssh <profile> 'cat /etc/clickstack/admin.env' ssh <profile> 'cat /etc/clickstack/ingestion.env' 真实创建以公共 HTTPS 验收检查结束，端到端摄取验证在收敛期间于服务器上运行。