用途：面向 FortiManager 管理面，回答“这里本该应用什么策略”，与 fortigate-ops（设备实际状态）、fortianalyzer-ops（规则是否命中）区分，避免把管理端意图当作设备实况。
主要能力：8 个只读工具——fmg_list_adoms（ADOM 清点）、fmg_list_devices（受管 FortiGate 连接与同步状态）、fmg_list_policy_packages、fmg_get_policy_package（按顺序的规则、位置、动作、启用状态）、fmg_search_rules、fmg_resolve_object（对象/组递归解析）、fmg_get_revisions、fmg_preview_install；1 个只读检查 fmg_check_change_record（ServiceNow CR 是否批准）；1 个写入工具 fmg_install_package。
使用方式：MCP 服务器为 fortinet-mcp，命令变量 $FORTINET_MCP_CMD，stdio 传输，需 FORTIMANAGER_HOST、FORTIMANAGER_API_TOKEN。典型流程：列 ADOM 选定范围 → 列策略包与安装目标 → 取有序规则 → 对每个引用组做对象解析 → 看修订历史 → 交给 fwrule-analyzer 分析重叠与遮蔽。判断意图与实况是否一致时，用 fortigate-ops 的 fgt_compare_with_manager，only_in_device 多为带外改动，only_in_manager 多为尚未安装。
限制：默认只读。安装需同时满足 FORTINET_ALLOW_WRITES 已设置且提供 approved_by，并在非实验环境提供已批准的 ServiceNow CR，否则分别返回 refused_read_only、refused_no_approval、refused_no_change_record；实验设备仅豁免 CR 门控，不豁免批准门控，无法分类的设备按生产处理。写入前必须先运行 fmg_preview_install。响应携带 plane 与 scope，outcome 区分 ok、empty_result、plane_unreachable、auth_expired 等，会话过期不会被误报为无策略。务必注明 ADOM，先解析对象再下结论。