用途：该技能面向 Fabric / Power BI 租户设置治理问题，提供经过解释的答案而非原始 API 调用，典型场景包括运行租户治理审计、查看上次审计以来的配置漂移、了解某项设置含义、查询按安全组限定的设置及其成员，以及梳理容量/域/工作区级别的覆盖。
主要能力：对照内置基线审计租户设置，计算漂移；枚举 capacity / domain / workspace 范围的委派覆盖；调查设置引用的 Entra 安全组（成员、所有权、角色分配）；生成 Markdown 审计报告与可分享的 PDF 简报；通过快照进行变更检测（新增、移除、开关变化、SG 变化、属性变化）；标记高风险与预览功能。
使用方式：需先安装并启用 fabric-cli 插件，fab CLI（ms-fabric-cli）以 Fabric / Power BI 管理员账号认证；涉及安全组调查时需 az CLI 及 Graph 权限（Group.Read.All、User.Read.All、Directory.Read.All、RoleManagement.Read.Directory）。配置位于 .claude/fabric-admin.local.md，含 enabled、tenant_label、snapshot_path、drift_threshold_high、drift_threshold_medium、notification_level、schedule 等字段。运行审计脚本：uv run ${CLAUDE_PLUGIN_ROOT}/skills/audit-tenant-settings/scripts/audit-tenant-settings.py -o /tmp/tenant-audit.md；生成 PDF：uv run ${CLAUDE_PLUGIN_ROOT}/skills/audit-tenant-settings/scripts/generate_audit_pdf.py -o /tmp/tenant-audit.pdf。可用 --drift-only、--snapshot、--no-snapshot、--no-overrides、--tenant-label 等参数。管理写入端点限速为每分钟 25 次请求，遇 429 需遵循 Retry-After。
适用场景：租户治理审计、委派覆盖核查、安全组策略评估、漂移讨论与后续计划制定。
限制：不做绝对合规声明（HIPAA、SOC 2、GDPR 等）；建议为通用性质而非指令性或普适性；不自动应用任何设置变更；不从该技能自动认证；结论限于对照基线的观察漂移与原始 API 发现。