用途：通过 tctl 管理 Teleport 访问列表，向用户授予对特定 Teleport 资源（服务器、数据库、应用、Kubernetes 集群等）的访问权限。
路由：运行命令前先选唯一路由。仅列出资源时读 RESOURCE_KINDS.md 和 SECURITY.md，只做列表不创建或更新；创建新列表读 CREATE.md、RESOURCE_KINDS.md、PRESETS.md、SCOPES.md、SECURITY.md，若创建部分成功需清理再读 LEFTOVER_ROLES.md；更新已有列表读 UPDATE.md、RESOURCE_KINDS.md、PRESETS.md、LEFTOVER_ROLES.md、SCOPES.md、SECURITY.md；删除列表读 DELETE.md、PRESETS.md、LEFTOVER_ROLES.md、SCOPES.md、SECURITY.md。路由不明确时询问用户意图。缺少访问目标或人员信息时按 CREATE.md 对应提示处理。
主要限制与要点：列出资源不等于创建或更新；不要凭记忆选资源命令，用 RESOURCE_KINDS.md 的命令矩阵。AWS IC 特殊，其列表命令无 --query，用 $TCTL integrations awsic accounts ls --format=json 构造赋值，授权用 --aws-ic-assignments。显示标题不是 CLI 标识符，更新/删除需用访问列表标识符且标题不唯一。删除父级分离是独立写入。访问类型不可就地更改。列表类型决定合法标志。更新成员/所有者标志是替换而非合并，单个成员改动用 tctl acl users add/rm。标识符大小写敏感。不要肉眼查看原始 tctl 输出，先捕获完整 JSON 再过滤。
呈现：结构化输出用 markdown，资源列表用表格，草稿与审批用带标签列表或两列表格，多条命令放 fenced bash 代码块。提问一次只问当前阶段缺失项。命名参考菜单须完整以纯 markdown 渲染。
环境：查找 tctl（which tctl、/usr/local/bin/tctl、/opt/homebrew/bin/tctl、~/go/bin/tctl）并设 TCTL=<path>。工作站上 tctl 使用当前 tsh 登录，认证服务器上使用本地管理员身份。若返回访问被拒绝，将错误作为数据转达并指出可能欠缺的权限类别。其余细节暂未提供。