用途：为 CodeRabbit 企业组织设计并审计角色、席位、API 访问与管理员职责分离，避免仅凭 Git 提供商角色推断全部权限。
主要能力：盘点用户、Git 提供商角色、CodeRabbit 角色、席位、密钥与仓库访问；将岗位映射到设置、账单、报表、API、日志的最小权限；识别危险权限组合、过期管理员、闲置席位与未管理密钥；产出访问矩阵、最小权限目标、例外、已批准变更集与再认证计划。
当前契约：内置角色为 Admin、Member、Billing Admin；CodeRabbit 角色在初始分配后独立于 Git 角色；Billing Admin 不占席位且不能编辑角色矩阵；企业自定义角色提供细粒度权限。
使用方式：先确认组织、Git 提供商、仓库、套餐与责任人，阅读 references/official-docs.md 并复核时效性契约；在批准边界满足前仅用合成或只读证据。认证方面，Git 提供商会话、CodeRabbit Web 会话、CLI 凭据与 API 密钥视为独立凭据，只使用已批准的会话或密钥管理引用，不得打印密钥，也不得将凭据放入 .coderabbit.yaml、源码、日志或交付物。工具使用上，用 Glob 定位配置与证据文件，用 Grep 查找字段与过期声明，用 Read 查看最小必要文件，Write 仅用于新的已批准本地草稿，Edit 仅用于回滚已知的有界变更；不得以文件工具替代已认证的 CodeRabbit 或提供商操作。
限制与边界：角色、席位、默认角色或密钥变更需经授权的 CodeRabbit Admin 与安全负责人批准，分析草稿保持本地直至明确批准并记录批准人与范围。契约不清或文档冲突时停止变更并请求责任人裁决；缺少访问或批准时只产出草稿与证据计划；验证或试点与预期不符时恢复先前状态并保留失败证据；输出含密钥或私有代码时停止、隔离、脱敏并通知数据所有者。所有结论需对照带日期的来源核验，未支持字段、未记录端点与未验证假设按失败报告。