用途：为 Wendy 应用与基础设施部署到 Google Cloud 提供专家级指导，适用于向 GCP 部署任何内容、编写或修改 Pulumi 程序等场景。
主要能力与硬性规则：先问需求再设计基础设施，不得臆造项目名、区域或规模假设；必须考虑成本，选择计算或数据库前先读 references/cost.md；通过自定义 IAM 角色实现最小权限，优先精确权限而非宽泛预定义角色；禁止服务账号密钥，CI 使用 GitHub OIDC / Workload Identity Federation，工作负载使用附加服务账号；客户端不得持有任何 GCP 凭据，设备通过服务端代理签发短期降权凭据；默认 dev/prod 拆分，默认分支部署 dev，semver 标签（v*）部署 prod；创建资源前检查是否与既有资源冲突，尤其是 DNS 记录。
使用方式：先进行需求访谈（流量形态与规模、是否需要数据库、延迟与可用性、归属项目、dev/prod、需持久化的资源），再设计计算、数据、网络、IAM、DNS 与 dev/prod 栈；特权资源由人工用 gcloud 引导并逐条批准；Pulumi 程序优先 Go，使用 GCS 状态后端与 KMS 密钥提供者；GitHub Actions 工作流仅用 OIDC。
适用场景与限制：适用于多服务、VM 或数据库的较大项目，采用按项目自定义 VPC、跨项目仅经 Private Service Connect、数据库仅私有、默认拒绝出站、VM 无公网 IP、强制双栈等网络形态；单一原生部署可豁免严格 VPC 要求但仍需双栈。区域按仓库在 Pulumi yaml 中设定，不得擅自更改。具体机器端点证书策略仍在 WDY-2840 定稿中。资料未提供收费、价格与效果信息。