用途：为特定 Mindtickle 租户选择并记录受支持的访问模型，明确归属方，并在不臆造通用端点或凭据格式的前提下验证最小安全能力。
主要能力：区分交互式 SSO、自动预配（SCIM/用户同步）、目录化托管集成与客户签发 API 合同四类路径；建立访问矩阵，覆盖主体、角色、范围、环境、过期、轮换、撤销与应急归属；检查仓库中是否存在猜测主机、硬编码密钥、浏览器会话复用与多租户混配；在授权预配后执行最小只读检查，仅保留脱敏状态、主体类别、租户与请求标识。
使用方式：先记录租户、套餐、数据类别、记录系统、预期读写与责任人；分类访问路径；重新获取公开产品说明与客户当前租户文档；构建访问矩阵；用 Read、Glob、Grep 检查本地配置，用 WebFetch 复核官方与租户授权合同，仅用 Write 或 Edit 写无密钥配置与脱敏证据；所有租户设置、同意、连接器启用与凭据请求须经明确批准。
适用场景：Mindtickle 租户接入与集成入职、SSO 与预配方案选型、托管连接器授权、API 凭据治理与轮换撤销规划。
限制：确切 API 主机、路由、模式、凭据与权益由租户控制，须从授权文档获取；不得将 SSO 会话当作 API 授权，不得猜测请求头、复用管理员 Cookie 或在文件、日志、提示与回执中放置密钥；未经相关责任人不得邀请用户、更改 SSO 或预配、启用连接器、签发凭据、扩大访问或测试生产写入。租户文档不可用时停在决策记录并向站点负责人或 Mindtickle 索取；SSO 成功但集成失败时独立诊断集成凭据；能力不在套餐内时记录权益缺口并转交商务或站点负责人。示例：tenant=customer-specific; path=managed-connector; principal=service-owned; entitlement=confirmed; smoke=read-only-pass; secrets=redacted。后续可在非生产租户测试凭据轮换或连接器重新授权并指定复核日期。