用途：创建、修改、查看或销毁云资源与 SaaS 配置，覆盖从单次 CLI 操作到完整项目。
三个层次： 1）pulumi do：无项目文件、无编程语言的直接 CRUD，每个命令无状态，不写 Pulumi 状态文件，无资源图与 ${...} 引用；需 CLI v3.243.0 以上。典型命令：npx pulumi do aws:s3:Bucket create --yes --bucket my-data；读取用 npx pulumi do aws:s3:Bucket read my-data。create 打印含云端 id 的 JSON，read/patch/delete 按该 id 操作；资源间连接需手动把上一步输出作为字面量传入下一步。 2）Pulumi 项目：用 Python、TypeScript、Go、C#、Java 描述多个相关资源及依赖，适合抽象、循环条件、多环境。命令：npx pulumi new aws-typescript 等模板；npx pulumi preview、up、refresh；stack init/select 管理环境；pulumi config set --secret 存配置；pulumi destroy 一般不可逆，需明确确认。从 pulumi do 迁移可用 pulumi import 导入资源。 3）Pulumi Cloud：ESC 保管凭据并注入运行、策略、托管执行、漂移检测、计划任务与审计。命令示例：npx pulumi env init 与 env run -- <command>。
限制与注意：provider 凭据与环境变量独立于 Pulumi Cloud 凭据；无凭据时首次命令可能静默创建代理账户并打印 claim URL，需立即交给用户，token 3 天有效、claim URL 30 天有效。目录已有 Pulumi.yaml 时不要用 pulumi do 改动其管理资源。认证失败时让用户执行 pulumi login，勿用 --local 或设置 PULUMI_CONFIG_PASSPHRASE。从 Terraform 等迁移走独立迁移技能路径，不属于本层次模型。本资料未提供具体收费与价格信息。