用途：该技能用于设计并审计 Palantir Foundry 的访问控制，把访问视为多个控制面的交集：项目角色决定自主权限，强制控制持续生效，OAuth 应用限制独立约束 API 客户端。适用于团队入职、服务用户权限收敛、应用权限审查等场景。
主要能力：建立主体/组、项目角色、资源用途、强制要求、应用限制、负责人与到期时间的权限矩阵；用组角色授权替代不必要的直接用户授权，同时保留应急访问与可问责负责人要求；对代表性资源使用 Check access 说明每个角色的自主与强制要求；对服务应用，将 Developer Console 客户端限制到最小操作与 Ontology 或 Platform SDK 资源；执行正向与负向访问测试、取得负责人确认、移除临时访问并安排重新认证。
使用方式：先做只读权限清单，发现期间不授予访问；识别范围内的资源、项目、空间、组织、标记或 CBAC 要求、组、用户、服务用户与 Developer Console 应用；明确数据负责人、项目负责人、应用负责人、信息安全负责人与访问审查节奏；阅读 references/official-docs.md 并使用 Check access 面板。工具使用上，用 Glob 定位候选仓库与配置，用 Grep 查找标识符与权限，用 Read 查看最小必要文件，Write 仅用于新的已批准本地草稿或证据，Edit 仅用于有界且可回滚的已批准变更；不得用文件工具替代已认证的 Foundry 操作或负责人批准。
限制与边界：项目负责人批准自主角色，安全权威批准标记、CBAC 与组织成员资格，应用负责人批准 OAuth 限制，数据负责人批准数据访问，任一批准不能替代其他批准。默认项目角色为 Owner、Editor、Viewer、Discoverer，部署也可定义自定义角色；组织、标记与 CBAC 可在存在项目角色时仍拒绝访问；Developer Console 令牌权限受用户/服务用户权限、应用限制与请求的 OAuth 范围限制。持有令牌不代表主体应拥有访问权。若 Viewer 仍无法读取数据，应先检查强制控制、依赖资源与应用限制；若服务用户权限过大，应分别收紧 Foundry 权限、Developer Console 限制与请求范围；所有权不清时应停止授权。具体命令与官方文档内容暂未提供。