用途：为 CAST AI 的 castctl、REST API、Terraform、CI 等客户端选择并配置合适的认证边界，确保人工登录、服务 API 密钥、企业组织定位和集群安装密钥相互隔离，按单一客户端、区域、组织和生命周期选用最窄身份。
主要能力：区分交互式人工会话与非交互式自动化，避免复用同一凭据；为人工集群连接使用 castctl 浏览器登录（castctl 自行保存本地令牌与组织选择）；为 REST 或 Terraform 自动化创建 API 访问密钥，使其继承的角色绑定匹配所需操作；按 CAST AI 环境固定美国、欧盟或印度 API 基址；API 密钥仅通过 X-API-Key 请求头发送；企业密钥面向子组织时还需提供 X-CastAI-Organization-Id，且不得从集群名称推断该标识。
使用方式：先用 Read 和 Grep 查找现有 CAST AI 环境变量、provider 配置、CI 密钥、Helm values 和运行手册；再按 actor 类型选择认证路径；用 Write 或 Edit 只写入密钥引用而非密钥值；用 Bash(curl:*) 仅对当前 API 规范中的只读端点做最小验证，限制输出为状态码和非敏感标识，设置超时，并测试无凭据时的 401 或 403 路径；最后记录所有者、客户端、角色依据、组织、区域、存储位置、创建时间、复核日期、轮换流程和吊销条件。
适用场景：开发者用 castctl 浏览器登录连接经审核的沙箱；CI 任务使用独立的、限定组织范围的只读 API 密钥访问欧盟端点，且不能访问同级组织。
限制与注意：密钥不得出现在 Git、命令历史、URL、Terraform 输出、plan 产物、Helm 渲染输出、日志和支持包中；创建的密钥无法再次查看，丢失只能替换；出现 401 应验证密钥有效性与区域基址而不扩大权限，403 应检查角色绑定与组织定位，企业调用命中错误子组织时应停止并修正显式组织头。具体命令、端点与配置细节暂未提供。