用途：为单个环境描述 CAST AI 的真实控制与数据路径，避免通用厂商图，明确身份、遥测、建议、变更、云资源开通、GitOps 与人工审批在何处跨越边界。
主要能力：建立信任区；按模式映射集群内组件（统一 umbrella chart 及所选 tag 模式，共享组件含 agent、spot handler、Kvisor，自动化模式按文档增加 controllers、evictor、pod mutator、workload autoscaler/exporter、pod pinner 或 live-migration 等，不默认全部存在）；区分观察快照、成本遥测、工作负载建议、变更准入、Eviction API 操作、原生 HPA 管理、待调度 Pod 观察、节点开通与云 API 调用，并标注读、建议、变更或开通；映射权限边界（castctl 登录、服务 API key、企业子组织定向、Kubernetes ServiceAccount、云 IAM、可选 Kvisor 能力），将每项权限关联到功能并指明撤销负责人；声明配置权威归属（castctl、Terraform、Helm GitOps、控制台或工作负载注解），标出与 Karpenter、云自动扩缩器、原生 HPA 及手工控制台变更的冲突；补充区域 API 中断、agent 断连、指标缺失、webhook 失败、云配额耗尽、节点模板不满足、PDB 拒绝与策略发布失败等故障与回滚路径。
使用方式：前置需集群清单、提供商、区域、网络区与 CAST AI 组织，选定模式（只读、Workload Autoscaler、Node Autoscaler 或 full），以及 IaC/GitOps 归属、现有 provisioner、HPA、PDB 与数据策略。用 Read 和 Grep 收集仓库与环境证据，用 Write 和 Edit 记录架构与图源。
限制：不得从默认安装推断已选功能、组件、权限或网络可达性；模式未知时标记组件未解析并检查 release；同一控制权归属冲突应形成架构决策而非静默合并；未验证网络路径标注为未验证；权限无法关联功能视为过度权限待审。输出信任区与组件视图、读/建议/变更/开通数据流视图、身份权限与配置权威矩阵、故障回滚与升级路径。