Cloudflare One SASE migration planner - **name_fr:** Planificateur de migration SASE vers Cloudflare One - **tl_en:** Assess and plan migrations from Zscaler, Palo Alto or legacy VPN/SASE to Cloudflare One — inventories, policy mapping, parity gaps, pilot rollout - **tl_fr:** Évaluer et planifier les migrations depuis Zscaler, Palo Alto ou VPN/SASE legacy vers Cloudflare One — inventaires, mapping de règles, écarts, déploiement pilote - **creator:** @cloudflare - **type:** Agent skill - **url:** https://github.com/cloudflare/skills - **cat:** Security - **kws:** cloudflare one, sase, migration, zscaler, palo alto, vpn, zero trust, access, gateway, dlp, network security, swg - **license:** Apache-2.0 **Description EN:** Curated by Skill Harbor — Cloudflare's official migration-assessment skill for moving off VPN, SWG or SASE platforms (Zscaler ZIA/ZPA, Palo Alto NGFW/Prisma/GlobalProtect, legacy VPN/SD-WAN) onto Cloudflare One. It drives a disciplined workflow: identify the source stack, demand structured exports over screenshots, build a full inventory (identities, groups, apps, tunnels, DNS/firewall/DLP/TLS policies, hit counts), produce a mapping plan with confidence levels and unsupported mappings, create dependencies first (identity/SCIM, connectors, routes, Access apps/policies, Gateway policies), stage safely with a migration prefix and disabled-by-default rules, pilot with small groups, and account for every single source rule — each one maps to a Cloudflare object or an explicit "Not Migrated" row with reason and security impact. Includes source-specific traps (ZIA custom categories splitting, ZPA segment-to-tunnel heuristics, Palo Alto zone-flattening warnings) and validation gates with rollback paths. By @cloudflare, listed here with credit to its creator. Honest caveats: a planning and assessment methodology, not an automatic migrator — it fetches current Cloudflare docs, API schemas and vendor export docs before generating exact configuration; you supply the source-platform exports and a Cloudflare account; no policy is ever created or enabled without your review; the assessment template and the "never create broad allow-all catchalls" rule are the guardrails. Discovered via skills.sh. Skill Harbor never reviews the code, review it yourself before use. **Description FR:** Sélectionné par Skill Harbor — le skill officiel de Cloudflare pour planifier les migrations depuis des plateformes VPN, SWG ou SASE (Zscaler ZIA/ZPA, Palo Alto NGFW/Prisma/GlobalProtect, VPN/SD-WAN legacy) vers Cloudflare One. Il impose un workflow discipliné : identifier la pile source, exiger des exports structurés plutôt que des captures d'écran, dresser un inventaire complet (identités, groupes, apps, tunnels, politiques DNS/firewall/DLP/TLS, hit counts), produire un plan de mapping avec niveaux de confiance et mappings non supportés, créer les dépendances d'abord (identité/SCIM, connecteurs, routes, apps et politiques Access, politiques Gateway), déployer par étapes avec un préfixe de migration et des règles désactivées par défaut, piloter sur de petits groupes, et rendre compte de chaque règle source — chacune devient un objet Cloudflare ou une ligne « Not Migrated » explicite avec motif et impact sécurité. Inclut les pièges spécifiques à chaque source (éclatement des catégories custom ZIA, heuristiques segment→tunnel ZPA, avertissements sur l'aplatissement des zones Palo Alto) ainsi que des gates de validation avec plans de rollback. Crédit : @cloudflare. Bémols honnêtes : une méthodologie de planification et d'évaluation, pas un migrateur automatique — il récupère les docs Cloudflare à jour, les schémas API et les docs d'export des fournisseurs avant de générer la configuration exacte ; vous fournissez les exports de la plateforme source et un compte Cloudflare ; aucune politique n'est créée ni activée sans votre revue ; le modèle d'évaluation et la règle « jamais de catch-all allow-all large » sont les garde-fous. Découvert via skills.sh. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage. **Install prompt EN:** ``` Prerequisites: access to the source-platform exports (Zscaler ZIA/ZPA, Palo Alto/Prisma or legacy VPN/SWG/SD-WAN config) and a Cloudflare account for the migration target; the skill plans — it never applies config automatically Install "Cloudflare One SASE migration planner" for me. Give my agent Cloudflare's official workflow for assessing and planning migrations to Cloudflare One — source inventory, policy mapping heuristics, parity gaps, staged rollout, validation gates and rollback paths Repository: https://github.com/cloudflare/skills/blob/main/skills/cloudflare-one-migrations/SKILL.md 1. Fetch the SKILL.md file for the cloudflare-skills-cloudflare-one-migrations skill from the repository into a temporary folder and summarize what it does in one or two sentences. 2. Safety check: review the SKILL.md for anything suspicious (unexpected network calls, shell commands, credential harvesting). This repo should contain zero secrets in code, credentials only via the secure vault, allowed hosts declared in the SKILL.md. Verify that holds here; STOP on any red flag and tell me. 3. Install it as a skill: copy SKILL.md into the agent's skills directory, in a folder named "cloudflare-skills-cloudflare-one-migrations". 4. Verify with no network calls: frontmatter valid, files in place. 5. Report what was installed, where, and what I still need to do myself (e.g. gather my source-platform exports before asking the agent to assess the migration). GitHub is optional: if I have a GitHub account or the gh CLI, you may use it; otherwise public access is fine. Never require it unless it's in the prerequisites above. Rules: don't touch anything outside the temp folder and the install target. If anything looks off, stop and ask me. ``` **Install prompt FR:** ``` Prérequis : accès aux exports de la plateforme source (Zscaler ZIA/ZPA, Palo Alto/Prisma ou VPN/SWG/SD-WAN legacy) et un compte Cloudflare pour la cible de migration ; le skill planifie — il n'applique jamais de configuration automatiquement Installe-moi « Planificateur de migration SASE vers Cloudflare One ». Donne à mon agent le workflow officiel de Cloudflare pour évaluer et planifier les migrations vers Cloudflare One — inventaire source, heuristiques de mapping de règles, écarts de parité, déploiement par étapes, gates de validation et chemins de rollback Dépôt : https://github.com/cloudflare/skills/blob/main/skills/cloudflare-one-migrations/SKILL.md 1. Récupère le fichier SKILL.md du skill cloudflare-skills-cloudflare-one-migrations depuis le dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Contrôle de sécurité : examine le SKILL.md pour tout contenu suspect (appels réseau inattendus, commandes shell, récolte d'identifiants). Ce dépôt ne doit contenir aucun secret dans le code ; les identifiants passent uniquement par le coffre sécurisé, les hôtes autorisés sont déclarés dans le SKILL.md. Vérifie que c'est bien le cas ; STOP sur le moindre signal d'alerte et préviens-moi. 3. Installe-le comme skill : copie SKILL.md dans le répertoire des skills de l'agent, dans un dossier nommé « cloudflare-skills-cloudflare-one-migrations ». 4. Vérifie sans aucun appel réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. rassembler les exports de ma plateforme source avant de demander à l'agent d'évaluer la migration). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf si c'est dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi. ``` ---

Assess and plan migrations from Zscaler, Palo Alto or legacy VPN/SASE to Cloudflare One — inventories, policy mapping, parity gaps, pilot rollout - **tl_fr:** Évaluer et planifier les migrations depuis Zscaler, Palo Alto ou VPN/SASE legacy vers Cloudflare One — inventaires, mapping de règles, écarts, déploiement pilote - **creator:** @cloudflare - **type:** Agent skill - **url:** https://github.com/cloudflare/skills - **cat:** Security - **kws:** cloudflare one, sase, migration, zscaler, palo alto, vpn, zero trust, access, gateway, dlp, network security, swg - **license:** Apache-2.0 **Description EN:** Curated by Skill Harbor — Cloudflare's official migration-assessment skill for moving off VPN, SWG or SASE platforms (Zscaler ZIA/ZPA, Palo Alto NGFW/Prisma/GlobalProtect, legacy VPN/SD-WAN) onto Cloudflare One. It drives a disciplined workflow: identify the source stack, demand structured exports over screenshots, build a full inventory (identities, groups, apps, tunnels, DNS/firewall/DLP/TLS policies, hit counts), produce a mapping plan with confidence levels and unsupported mappings, create dependencies first (identity/SCIM, connectors, routes, Access apps/policies, Gateway policies), stage safely with a migration prefix and disabled-by-default rules, pilot with small groups, and account for every single source rule — each one maps to a Cloudflare object or an explicit "Not Migrated" row with reason and security impact. Includes source-specific traps (ZIA custom categories splitting, ZPA segment-to-tunnel heuristics, Palo Alto zone-flattening warnings) and validation gates with rollback paths. By @cloudflare, listed here with credit to its creator. Honest caveats: a planning and assessment methodology, not an automatic migrator — it fetches current Cloudflare docs, API schemas and vendor export docs before generating exact configuration; you supply the source-platform exports and a Cloudflare account; no policy is ever created or enabled without your review; the assessment template and the "never create broad allow-all catchalls" rule are the guardrails. Discovered via skills.sh. Skill Harbor never reviews the code, review it yourself before use. **Description FR:** Sélectionné par Skill Harbor — le skill officiel de Cloudflare pour planifier les migrations depuis des plateformes VPN, SWG ou SASE (Zscaler ZIA/ZPA, Palo Alto NGFW/Prisma/GlobalProtect, VPN/SD-WAN legacy) vers Cloudflare One. Il impose un workflow discipliné : identifier la pile source, exiger des exports structurés plutôt que des captures d'écran, dresser un inventaire complet (identités, groupes, apps, tunnels, politiques DNS/firewall/DLP/TLS, hit counts), produire un plan de mapping avec niveaux de confiance et mappings non supportés, créer les dépendances d'abord (identité/SCIM, connecteurs, routes, apps et politiques Access, politiques Gateway), déployer par étapes avec un préfixe de migration et des règles désactivées par défaut, piloter sur de petits groupes, et rendre compte de chaque règle source — chacune devient un objet Cloudflare ou une ligne « Not Migrated » explicite avec motif et impact sécurité. Inclut les pièges spécifiques à chaque source (éclatement des catégories custom ZIA, heuristiques segment→tunnel ZPA, avertissements sur l'aplatissement des zones Palo Alto) ainsi que des gates de validation avec plans de rollback. Crédit : @cloudflare. Bémols honnêtes : une méthodologie de planification et d'évaluation, pas un migrateur automatique — il récupère les docs Cloudflare à jour, les schémas API et les docs d'export des fournisseurs avant de générer la configuration exacte ; vous fournissez les exports de la plateforme source et un compte Cloudflare ; aucune politique n'est créée ni activée sans votre revue ; le modèle d'évaluation et la règle « jamais de catch-all allow-all large » sont les garde-fous. Découvert via skills.sh. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage. **Install prompt EN:** ``` Prerequisites: access to the source-platform exports (Zscaler ZIA/ZPA, Palo Alto/Prisma or legacy VPN/SWG/SD-WAN config) and a Cloudflare account for the migration target; the skill plans — it never applies config automatically Install "Cloudflare One SASE migration planner" for me. Give my agent Cloudflare's official workflow for assessing and planning migrations to Cloudflare One — source inventory, policy mapping heuristics, parity gaps, staged rollout, validation gates and rollback paths Repository: https://github.com/cloudflare/skills/blob/main/skills/cloudflare-one-migrations/SKILL.md 1. Fetch the SKILL.md file for the cloudflare-skills-cloudflare-one-migrations skill from the repository into a temporary folder and summarize what it does in one or two sentences. 2. Safety check: review the SKILL.md for anything suspicious (unexpected network calls, shell commands, credential harvesting). This repo should contain zero secrets in code, credentials only via the secure vault, allowed hosts declared in the SKILL.md. Verify that holds here; STOP on any red flag and tell me. 3. Install it as a skill: copy SKILL.md into the agent's skills directory, in a folder named "cloudflare-skills-cloudflare-one-migrations". 4. Verify with no network calls: frontmatter valid, files in place. 5. Report what was installed, where, and what I still need to do myself (e.g. gather my source-platform exports before asking the agent to assess the migration). GitHub is optional: if I have a GitHub account or the gh CLI, you may use it; otherwise public access is fine. Never require it unless it's in the prerequisites above. Rules: don't touch anything outside the temp folder and the install target. If anything looks off, stop and ask me. ``` **Install prompt FR:** ``` Prérequis : accès aux exports de la plateforme source (Zscaler ZIA/ZPA, Palo Alto/Prisma ou VPN/SWG/SD-WAN legacy) et un compte Cloudflare pour la cible de migration ; le skill planifie — il n'applique jamais de configuration automatiquement Installe-moi « Planificateur de migration SASE vers Cloudflare One ». Donne à mon agent le workflow officiel de Cloudflare pour évaluer et planifier les migrations vers Cloudflare One — inventaire source, heuristiques de mapping de règles, écarts de parité, déploiement par étapes, gates de validation et chemins de rollback Dépôt : https://github.com/cloudflare/skills/blob/main/skills/cloudflare-one-migrations/SKILL.md 1. Récupère le fichier SKILL.md du skill cloudflare-skills-cloudflare-one-migrations depuis le dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Contrôle de sécurité : examine le SKILL.md pour tout contenu suspect (appels réseau inattendus, commandes shell, récolte d'identifiants). Ce dépôt ne doit contenir aucun secret dans le code ; les identifiants passent uniquement par le coffre sécurisé, les hôtes autorisés sont déclarés dans le SKILL.md. Vérifie que c'est bien le cas ; STOP sur le moindre signal d'alerte et préviens-moi. 3. Installe-le comme skill : copie SKILL.md dans le répertoire des skills de l'agent, dans un dossier nommé « cloudflare-skills-cloudflare-one-migrations ». 4. Vérifie sans aucun appel réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. rassembler les exports de ma plateforme source avant de demander à l'agent d'évaluer la migration). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf si c'est dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi. ``` ---

Version: