用途：在 Basecamp ONCE 服务器上配置并部署一整套 Vaultwarden，使用 Litestream 将数据复制到 Cloudflare R2。基于非机密的 colors.yml 操作，直接调用 colors-compute 获取主机与远程状态，并复用 ONCE 处理 Cloudflare DNS、Resend、主机收敛、HTTPS 以及可选的 GitHub 部署凭据。自定义镜像在 Hivemind 下运行 Vaultwarden 与 Litestream，满足 ONCE 的 /up 健康检查契约。官方镜像 ghcr.io/getcolors/vaultwarden 无需仓库或 GitHub token；仅当要使用自己控制的仓库时才设置 vaultwarden-repo。
主要能力：首次 create 会向 vaultwarden-owner-email 发送邀请，公开注册保持禁用；管理端点仅在回环引导期间存在，并在 ONCE 健康代理可用前禁用。当 /storage/db.sqlite3 缺失时，启动会先恢复最新的 R2 副本再启动 Vaultwarden；非破坏性校验可恢复到单独文件并运行 SQLite pragma integrity_check，绝不覆盖在线数据库，镜像每周执行一次隔离检查。计算层支持 azure、aws、google、digitalocean、hcloud、vultr、yandex、oci，由库负责提供商校验、资源、状态与密钥。
使用方式：常用命令为 ./green build、./green create --dry-run、./green create、./green delete。真实创建前先执行 build 与 create --dry-run。凭据放入被 gitignore 的 .envrc.private，以 COLORS_PAR_* 变量形式提供。默认密钥对管理于 ~/.ssh/<profile>，SSH 别名即 profile。需显式设置 compute-ssh-sources 与 compute-http-sources，状态使用 R2 或 S3。
限制与安全：不得请求或打印机密，不得设置 COLORS_PAR_PROFILE，不得编辑或提交 .colors/，保持 compute-prevent-destroy: true；真正的删除需要单独明确授权并单次设置 COLORS_PAR_COMPUTE_PREVENT_DESTROY=false。删除计算时不要移除 R2 副本，除非另有要求。不支持 compute no-infra 与本地状态。存在旧的 tofu-compute.tfstate 时，创建前需显式迁移。更改期望状态或执行真实生命周期操作前，先阅读 references/configuration.md。