（3926期）cicd-aiops – governed CI/CD 智能运维中枢

governed CI/CD 智能运维中枢 面向自托管 GitLab/Gitea 的 28 工具治理套件，内置加密凭据、审计追踪与可逆操作，让 CI/CD 故障定位与资源治理安全可控。 使用说明 核心用法 CICD AIops 是一套面向自托管 GitLab 与 Gitea 实例的治理型 CI/CD 运维工具，通过 28 个 MCP 工具覆盖服务器状态感知、流水线诊断、Runner 健康管理、制品存储治理与代码库卫生检查五大核心场景。用户可通过 CLI 或 MCP 接口执行操作： 只读诊断：cicd-aiops overview 获取全景快照；rca pipelines/runners/storage/stale 四类旗舰根因分析定位故障本质 安全写操作：所有变更（重试/取消流水线、暂停/恢复 Runner、更新分支保护、删除制品）均经过 @governed_tool 治理层，自动审计、风险分级、支持 dry-run 与双人确认 可逆机制：Runner 暂停/恢复、分支保护更新等操作自动捕获前状态并生成 undo 描述符，误操作可通过 undo apply 秒级回滚 配置层面，工具通过 cicd-aiops init 向导完成平台选择（GitLab/Gitea）、基础 URL 配置与加密令牌录入（Fernet/AES-128 + scrypt），令牌永不留存明文。 显著优点 双平台统一抽象：同一配置可管理混合 GitLab/Gitea 资产，平台注册表自动选择 API 形态，降低多栈运维认知负担 透明化根因分析：四类 RCA 不输出黑箱结论，而是展示分类依据与原始证据（如 trace-tail 标记），便于人工复核 零外部依赖的治理层：审计、预算防护、风险分级、undo 机制全部内置于包内，无需额外技能家族或 SaaS 订阅 纵深安全设计：磁盘加密存储、内存仅存令牌、SSL 默认启用、runaway 熔断、不可逆操作双重确认，形成多层防护 低成本验证路径：GitLab CE 与 Gitea 均为免费自托管，个人实验室即可完成端到端验证 潜在缺点与局限性 平台能力不对等：Runner 管理、流水线重试/取消为 GitLab 独占功能，Gitea 目标调用时会抛出教学错误，需用户切换至 Gitea UI 操作 验证债务：当前为 mock 验证状态，尚未有针对真实服务器的端到端运行记录，REST 路径建模是最大的验证缺口 无 SaaS 覆盖：明确排除 GitLab.com / Gitea Cloud 托管服务，仅限自托管实例 不可逆操作风险：制品删除无 undo，仅依赖 dry-run 与人工确认作为安全网 无内置策略引擎：工具本身不执行权限判断，依赖外部令牌作用域或 Agent 层的决策 适合的目标群体 中小技术团队 SRE/DevOps：缺乏专职平台团队，需要一站式工具管理 CI/CD 健康度 自托管 GitLab/Gitea 管理员：面对磁盘告警、队列堆积、流水线飘红等典型痛点 合规敏感组织：需要本地审计日志与加密凭据管理，拒绝 SaaS 数据出境 家庭实验室爱好者：希望以零成本搭建完整 CI/CD 治理链路的学习者 常规使用风险 性能风险：大规模实例（万级仓库、百万级制品）的列表操作可能存在分页延迟；未设置 CICDRUNAWAYMAX 的循环调用可能触发熔断 依赖项风险：核心依赖 httpx 与 MCP SDK，需关注上游安全通告 令牌权限风险：高权限令牌（如 Owner 级）配合Agent误判可能导致非预期变更；建议按最小权限原则配置 配置漂移风险：~/.cicd-aiops/config.yaml 未纳入版本控制时，多机切换可能导致目标实例混淆 SSL 配置风险：自签名证书场景下禁用 verify_ssl 会降低传输层安全性，建议仅限实验环境 原始说明 Use this skill whenever the user needs to operate a self-managed GitLab or self-hosted Gitea CI/CD server — a one-shot overview, server version and token identity, projects with storage statistics, pipelines/runs with jobs and trace tails, the runner fleet, merge/pull requests, branches, protection rules and releases, artifact inventories, four flagship RCAs (pipeline failures, runner health & queue, artifact/storage bloat, stale work), and governed writes (retry/cancel a pipeline, pause/resume a runner, delete artifacts, update branch protection). Always use this skill for "GitLab", "Gitea", "pipeline failed", "CI is red", "job trace", "runner offline", "jobs stuck in queue", "artifact storage full", "stale merge requests", "stale branches", "protect the default branch", "retry the pipeline", "cancel the pipeline", "delete old artifacts" when the context is a self-managed GitLab or Gitea instance. Do NOT use when the target is something other than a GitLab/Gitea CI/CD server (a hypervisor, storage appliance, backup product, database, network gear, or OT/industrial equipment) — route those to the appropriate other AIops-tools skill. Do NOT use for Kubernetes deploy state — use k8s-aiops. GitLab.com / Gitea Cloud SaaS accounts are out of scope: this tool targets self-managed instances. Governed CI/CD operations with a built-in governance harness (audit, policy, token budget, undo, risk-tiers).