用途：设计、配置、排障与审查 Cloudflare One 的 Zero Trust/SASE 部署，涉及 Access、Gateway、WARP、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、设备态势与身份。
主要能力与工作方式：先对需求分类（架构、配置、排障、迁移、审查），收集账号、用户站点、身份源、设备管理、流量路径与合规约束等上下文，再仅检索相关产品的当前文档，并在有权限时先查看现有资源再提出变更。变更方案需含前置条件、验证与回滚；高风险变更默认先禁用或限定试点用户/站点。
关键约束：Access 控制应用授权，Gateway 控制流量过滤，两者按需求组合使用；公开主机名的 Access 应用可无客户端，私有目标需设备客户端或其它网络接入并配合路由与 DNS；仅创建 Access 应用不够，私有主机名需显式 DNS 路由。基于组的策略依赖 IdP/SCIM 组同步，缺同步不得臆造组选择器；组名与 SAML/OIDC 属性区分大小写。访问策略默认拒绝。加密流量检查与 DLP 需启用 TLS 解密并规划例外。
设备客户端：注册规则实为 warp 类型的 Access 应用；无头设备使用服务令牌注册，身份为 non_identity@[team-domain].cloudflareaccess.com，不属任何组。设备配置文件按用户组或设备属性优先级匹配，首个匹配生效。拆分隧道模式（Include/Exclude/DNS-only）为最具影响的设置，且每条目须与隧道路由双向对齐，模式不匹配会造成黑洞。MDM 参数会覆盖仪表板配置。
其它要点：CASB API 扫描为带外周期性，不提供实时内联执行；DLP 配置文件须被 Gateway HTTP 策略或 CASB 扫描引用才生效；用户风险评分基于行为且异步。SSH 建议使用 ZTIA；无客户端 SSH/RDP/VNC 可用浏览器渲染。日志中 Gateway 活动日志用于判断放行/拦截原因，Access 审计日志用于认证决策。资料未提供具体价格、收费与版本信息。