用途：为 AI Agent 提供华为云 DEW（数据加密服务）操作能力，覆盖 CSMS（云凭据管理服务）与 KMS（密钥管理服务）两类服务。CSMS 仅处理密钥元数据，KMS 处理客户主密钥（CMK）生命周期。
主要能力：通过 10 个 huawei_* 动作分为四组。查询（只读，R3 自动执行）：列出/描述 CSMS 凭据、列出凭据版本、列出 KMS 密钥。诊断（只读，R3）：分析凭据轮换状态、通过 CTS 审计 KMS 密钥使用。管理（R2，需预览并确认）：创建 KMS 密钥、启用 CSMS 凭据自动轮换。管理（R1，需预览并确认）：手动轮换凭据版本、删除 KMS 密钥。
使用方式：需先安装并认证 hcloud CLI（KooCLI 7.2.x 及以上），支持 AK/SK 环境变量或 hcloud configure 向导两种认证方式，用 hcloud configure list 验证。DEW 按区域划分，命令须传 --cli-region。所有 hcloud 命令必须用 skill-quality-cli run --skill-name huawei-cloud-dew-key-management -- 包裹。构造命令前先运行 hcloud <Service> <Operation> --help 确认参数。写操作前必须展示完整命令并请求明确确认，删除密钥还需打印不可逆警告。
适用场景：凭据与密钥的元数据盘点、轮换合规检查、KMS 密钥使用审计、密钥创建与删除等运维操作。
限制：绝不读取或获取凭据明文（DownloadSecretBlob、ShowSecretVersion 值字段、DecryptData、CreateDatakey 均被策略阻止），应用侧应使用 {{resolve:csms:secret-id:SecretString:key}} 运行时注入。绝不在对话中回显 AK/SK、密码或令牌。KMS 密钥删除不可逆，进入 7~1096 天（默认 7）待删除窗口，窗口过后密钥及以其加密的数据不可恢复。自动轮换需 OBS/FuncGraph 轮换函数 URN；跨账号使用 KMS 需配置授权；CTS 审计需区域内存在跟踪器。具体 IAM 权限策略见 references/iam-policies.md。