用途：该技能只做一件事——确保当前工作区拥有可用的 agent space、IAM 服务角色（SecurityAgentScanRole）和 S3 存储桶（security-agent-scans-${ACCOUNT}-${REGION}），三者互相关联。扫描和渗透测试由其他技能负责，并假定本步骤已完成。
主要能力：读取或创建 .security-agent/config.json，仅保存 agent_space_id 与 region；账户 ID、角色 ARN、桶名按约定推导，避免配置漂移。创建 .security-agent/.gitignore（内容为 *）。检查已有 agent space，若存在多个则列出名称与 ID 并询问用户复用还是新建，绝不自动选择。创建或更新 IAM 角色信任策略（服务主体 securityagent.amazonaws.com，含 aws:SourceAccount 防混淆代理条件）与权限策略（S3 与 CloudWatch Logs）。创建或复用 S3 桶，强制使用 --expected-bucket-owner 校验归属，并始终应用公共访问阻止与 30 天生命周期规则。最后把角色与桶注册到 agent space，并提示设置完成。
使用方式：由用户或扫描/渗透测试技能内联调用。核心命令包括 aws sts get-caller-identity、aws securityagent list-agent-spaces / create-agent-space / batch-get-agent-spaces / update-agent-space、aws iam get-role / create-role / update-assume-role-policy / put-role-policy、aws s3api head-bucket / create-bucket / put-public-access-block / put-bucket-lifecycle-configuration。
适用场景：首次使用 AWS Security Agent 前准备环境，或修复缺失的角色、桶、agent space 关联。
限制：桶名由非机密账户 ID 推导，可能被他人抢注；遇到 403 或 BucketAlreadyExists 属致命错误，必须中止且不得上传。若用户想用自定义角色名或桶名，需接受约定默认值或扩展该技能。IAM 或 S3 权限不足时需用户自行授权或提供已有资源。agent space 位于其他区域时需提示用户。其他细节暂未提供。