用途：通过已验证的 hcloud CLI（KooCLI 7.2.12）为 AI Agent 提供华为云 WAF（Web 应用防火墙）与 AAD（Anti-DDoS）的查询、诊断与规则管理能力，回答“配置了哪些 Web/DDoS 防护”“站点是否真正接入 WAF”“规则顺序是否安全”“公网 EIP 是否都被 Anti-DDoS 覆盖”等问题。
主要能力：只读查询（R3，自动执行）WAF 实例、防护域名（composite hosts）、策略、自定义规则、IP 黑白名单、CC 规则、地理规则，以及 AAD 实例与套餐；诊断（R3）CNAME 接入状态、规则顺序与误报风险、AAD EIP 防护覆盖；管理（R2，预览并确认）创建 WAF 自定义/IP 黑名单/CC/地理规则；删除（R1，预览并显式确认）上述 WAF 规则。
使用方式：需先安装 hcloud CLI 7.2.12+ 并配置认证（AK/SK 环境变量或本地 hcloud profile，技能不写入凭据）。WAF 操作需 --cli-region，--project_id 为路径参数，省略时 KooCLI 使用默认项目。运行时所有 hcloud 命令必须用 skill-quality-cli run --skill-name huawei-cloud-waf-aad-rule-management -- 包裹，禁止裸调。典型命令如 hcloud WAF ListInstance --cli-region={region}、hcloud WAF ListPolicy --cli-region={region}、hcloud AAD ListPackage --cli-region={region}；规则查询与写操作依赖 --policy_id 等业务参数，仅提供包裹形式。
适用场景：WAF/AAD 资产盘点、接入与覆盖诊断、规则误报排查、按需创建或删除 WAF 规则。
限制：不通过 CLI 创建或删除 AAD 实例（hcloud AAD 无 CreateInstance/DeleteInstance，返回 [USE_ERROR] Operation ... is not supported），AAD 套餐购买与退订仅限控制台包周期流程；不配置 DNS 记录，不绑定/解绑 EIP。WAF 需 CNAME 接入且依赖付费独享实例；AAD 标准版仅保护单个 IP，企业版保护网段；规则按优先级自上而下评估，变更默认先以 action=2（日志/仅上报）验证再切换阻断。IAM 最小权限、区域与项目等细节见技能内 references 文档。