用途：把一份 colors.yml 变成运行中的 NetBird 控制平面。OpenTofu 负责实例、防火墙和两条 Cloudflare 记录；Ansible 负责 Traefik、组合的 netbird-server、仪表盘与 Authentik。
主要用法（在项目根目录执行）： ./green build # 渲染 .colors/<profile>/，不调用 provider、不需凭据 ./green create --dry-run # 走完流程但跳过所有副作用 ./green create # 真正收敛 ./green delete # 有守卫，需一次性覆盖确认 退出码 2 表示校验或用法失败，并一次性列出全部问题。启动器会从工作目录向上查找 colors.yml。
计算提供方：仅声明支持 vultr，凭据变量为 COLORS_PAR_VULTR_API_KEY。键包括 vultr-region、vultr-plan、vultr-os-id，以及三个防火墙来源列表：vultr-ssh-sources（22 端口，至少一个 CIDR）、vultr-http-sources（80/443，可为空）、vultr-stun-sources（STUN UDP，可为空）。每项须为合法 IPv4/IPv6 CIDR，任何 provider 调用前即校验。vultr-name、vultr-ssh-keys 可选。已持有机器的 profile 上切换 provider-compute 属于重建而非 apply，create/delete 会拒绝。
收敛前：两个主机名须在 Cloudflare zone 中空闲；七个凭据须在 .envrc.private 设置；不要 export COLORS_PAR_PROFILE；COLORS_PAR_NETBIRD_BACKUP_RECOVERY_KEY 须存放在主机之外，用于解密所有备份。
账户：收敛会自动创建账户，无需手工步骤。本地 owner 与通过 Authentik 登录的用户分属两个账户且不合并。
主机操作：netbird-status、netbird-backup、netbird-restore --verify|--confirm。
规则：只编辑 colors.yml；.colors/ 为生成物，不可编辑、读取为源或提交。凭据只放 .envrc.private。不得削弱 committed desired state 中的 compute-prevent-destroy。安装的启动器是副本，执行 npx skills update -p 后需把 .agents/skills/package-netbird-green/green 覆盖根目录 ./green。
限制：计算状态与 journal 位于 <profile>/compute/，旧版 tfstate 会被拒绝；DNS 仍独立；不支持的计算能力会显式失败；本次迁移未使用真实部署验证。