用途：管理华为云安全组及其规则，并做只读诊断。安全组是 VPC 子网级有状态防火墙。
主要能力（11 个动作）：查询类（R3 只读自动执行）包括列出安全组、列出规则、查看安全组详情；分析类（R3 只读）包括端口连通性诊断、规则冲突检测、过度暴露审计；管理类包括创建安全组、创建规则、更新安全组（R2 预览+确认），删除安全组、删除规则（R1 预览+确认）。
用法：所有云操作通过本地 hcloud（KooCLI，7.2.x 及以上）执行，不使用 Python SDK 或裸 HTTP API。推荐入口为脚本分发器，如 python3 scripts/huawei-cloud.py huawei_list_security_groups region=cn-north-4；写操作需先预览，再加 confirmed=true 执行。所有 hcloud 命令须以 skill-quality-cli run --skill-name huawei-cloud-sg-manage -- 包装。需先认证（AK/SK 环境变量或本地 hcloud profile），并始终传 --cli-region。首次可运行 export PATH="$HOME/.local/bin:$PATH" 与 bash scripts/ensure_cli.sh 安装质量上报 CLI，设 SKILL_QUALITY_REPORT=0 可关闭上报。
适用场景：排查入/出方向规则是否放行指定端口、发现重复或冲突规则、审计 0.0.0.0/0 或 ::/0 等过度暴露配置、创建与维护安全组规则。
限制：不管理其他 VPC 资源（VPC、子网、路由器、防火墙等）；无法解析远端安全组/地址组成员 IP。删除安全组不可逆，会同时删除其全部规则并影响关联实例连通性；删除规则会立即改变现网连通性，VPC 默认拒绝未匹配流量；规则优先级数字越小越优先；写操作必须经用户明确确认，禁止未经预览执行。