用途：该技能用于设计 Mistral 的企业访问治理边界，覆盖组织、工作区、角色、服务账号、工作负载身份与应用 RBAC。核心原则是把提供商管理与应用授权分开：提供商控制资源与容量，应用仍需自行约束用户、租户、数据和工具。
主要能力：盘点用户、组、角色、服务账号、工作负载身份、密钥及成员关系；映射最小权限的提供商权限，分离计费、安全与运行时职责；为提示、文件、检索、工具和输出单独定义应用角色与租户校验；设置开通、复核、过期、轮换、吊销与应急（break-glass）控制；核查关键管理操作的审计覆盖与证据留存；测试入职、转岗、离职、服务被攻陷、错误工作区与紧急访问等场景。
使用方式：前置条件包括身份源、入转离流程、访问负责人、组织/工作区清单、角色目录、服务身份与应急策略，以及当前角色、服务账号、工作负载身份和审计证据。认证上优先使用经批准的非人类服务身份；API 密钥仅用于提供商调用认证，不能替代应用用户身份或租户授权。工具使用上，可用 Read、Glob、Grep 检查代码、锁文件、配置、测试与证据，Write 和 Edit 仅用于经批准的仓库变更；仅调用本身不授权网络请求、付费使用、上传、有状态资源、管理变更、部署或删除。任何用户、组、角色、工作区、服务账号、工作负载身份、密钥或应急变更都需获得授权管理。
适用场景：企业治理 Mistral 访问权限、设计提供商与应用双层 RBAC、规划身份生命周期与审计。
限制与注意：宽泛的工作区角色即使 UI 隐藏也会暴露资源；共享人类密钥会破坏归因与离职处理；提供商 RBAC 无法保护跳过应用授权的应用工具。输出应包含身份/工作区矩阵、提供商与应用角色分离、生命周期控制、审计覆盖、有害组合、审批与回滚。验证时需复核有效权限、测试跨工作区与跨租户拒绝、轮换并吊销测试身份、确认审计与应急过期，并记录每次预期拒绝。具体权限、套餐、价格、限制与保留策略等以当前官方证据为准，资料未提供固定值。