用途：面向阿里云 SASE（CSAS）的终端设备与用户账号运维，覆盖设备查询、用户账号查询、非活跃设备分析以及设备锁定等操作。
主要能力：可用 aliyun csas list-user-devices 按部门、设备类型、设备状态、DLP/PA/IA/NAC 状态、用户名、设备归属、主机名等条件组合查询设备；用 list-users 按模糊或精确用户名、部门、状态查询用户；用 list-user-applications 查询某用户可访问的私有应用；用 get-user-device 获取单台设备详情；用 get-active-idp-config 查看身份源配置；用 list-user-groups 查询用户组。脚本 scripts/inactive-analysis.sh 按 UpdateTime 阈值分析非活跃设备，scripts/cleanup-inactive.sh 可批量锁定非活跃设备（可逆）。
使用方式：需 aliyun CLI >= 3.3.3，先执行 aliyun configure set --auto-plugin-install true 与 aliyun plugin update。工作流开始前启用 AI 模式：aliyun configure ai-mode enable 并设置 user-agent；每个退出点（含成功）必须执行 aliyun configure ai-mode disable。凭据仅用 aliyun configure list 检查，禁止读取或回显 AK/SK。查询示例：aliyun csas list-user-devices --department QA --device-types macOS --dlp-statuses Disabled --pager。锁定前先 dry-run 预览并等待用户明确确认，执行后需重新查询验证状态。
适用场景：SASE 终端设备盘点、非活跃设备识别与锁定、用户与应用授权查询、身份源与用户组查看。
限制：不支持删除用户账号或终端设备、冻结/解冻账号，也不支持用户活跃度分析（API 无最后活跃时间）。权限失败时需授予 AliyunCSASFullAccess 或补充对应 csas:<ApiName> 权限。所有写操作幂等且需用户确认。