用途：该技能用于在 Elastic 集成中新增或审计 ECS entity.* 字段（实体清单/实体存储）。适用于为新建或已有集成添加实体/清单数据流、判断某数据流是实体流还是事件流、为新流选择正确的 entity.type、把厂商字段映射到 user.entity.、host.entity. 等嵌套前缀，以及审计已有包的实体字段覆盖情况（独立缺口分析），或排查 event.kind: asset 用法与 entity.* 字段错误。
不适用：CDR 云安全发现（属 event.kind: state 而非 asset）、非实体字段的通用字段文件编写、处理器机制（grok、date、JSON、Painless）、CEL 程序逻辑。
适用门槛：实体字段仅适用于实体数据流，即表示用户、主机、设备、应用、服务等稳定清单的数据流，而非事件时间线；不得把实体字段要求套用到事件日志、指标流、APM 数据或 CDR 发现流。分类前先查阅 references/entity-datastream-classification.md。
ECS 可用性：entity.attributes.、entity.lifecycle.last_activity 及所有 entity.relationships. 叶子字段在 ECS v9.3.0（仓库默认锁定版本）不存在，首次出现于 v9.4.0。在 v9.3.0 上使用 external: ecs 会导致字段未定义的构建失败。含实体数据流的包必须设置 _dev/build/build.yml 中 dependencies.ecs.reference: "git@v9.5.0"，且管道 ecs.version: 9.5.0，两者必须一致；非实体包保持 git@v9.3.0。
运行模式：独立缺口分析由用户调用 /entity-mappings @packages/<name> 触发，读取 gap-analysis-workflow.md 与 entity-field-catalog.md，并按 analysis-subagent-guidance.md 派发逐流子代理；构建时由编排器把 entity-field-catalog.md 与 entity-pipeline-patterns.md 按路径传给管道构建子代理；评审时在实体检测规则触发时加载这两份参考；研究时仅加载 entity-datastream-classification.md。
暂未解决：实体存储 latest 转换是否随新实体数据流发布尚未确定；仓库范围 ECS 锁定版本升至 v9.5.0 为后续建议。
参考文件：entity-field-catalog.md、entity-pipeline-patterns.md、entity-datastream-classification.md、gap-analysis-workflow.md、gap-analysis-report-template.md、analysis-subagent-guidance.md 及 ECS entity 字段集参考。