用途：为 Palantir Foundry 建立安全基线，覆盖用户、服务应用、数据资源、Ontology 策略、日志与导出，适用于入职、评审等场景。
主要能力：在自主访问角色、强制控制、OAuth 客户端、Ontology 策略、日志与导出之间落实最小权限；同时测试预期访问与拒绝访问，因为每个控制平面覆盖不同边界。
使用方式：先识别所有者、用户/组、服务用户、项目、组织、标记/CBAC、数据集、Ontology 资源、应用、日志、导出与事件联系人；分类最大数据敏感度与写回影响；阅读 references/official-docs.md 与目标注册策略；从只读清单与已批准的合成测试角色开始。将常规访问迁移到组，项目角色降至最低能力；限制 Developer Console 客户端到所需 Ontology 实体或平台操作，并单独验证实际执行主体；按读取与传播需求应用对象/属性策略与强制控制；治理日志与导出，运行正/负测试，扫描制品中的密钥，安排访问再认证。
工具纪律：用 Glob 定位候选仓库、清单、配置与证据；用 Grep 查找标识符、声明、权限、错误与过期声明；用 Read 检查最小必要文件与权威证据；Write 仅用于新的已批准本地草稿、测试、清单或证据制品；Edit 仅用于回滚已知的有界已批准变更。不得用文件工具替代已认证的 Foundry 操作或所有者批准。
审批边界：项目、数据、安全、应用与组织所有者分别批准各自控制；凭据轮换、权限授予、取消标记、日志启用与导出是独立的实时操作。
输出：安全清单、威胁与数据流摘要、权限/控制矩阵、OAuth 限制、对象/属性策略、日志/导出控制、测试证据、密钥轮换计划、例外与再认证。
错误处理：令牌暴露则撤销轮换、从制品/历史移除、评估访问并记录事件；负向角色可读数据则阻止发布、定位放行控制平面并修正最小策略；角色看似正确但访问失败则检查强制控制、依赖与应用限制，不要全面放宽；日志/导出含意外值则停止访问或导出、修正日志与标记并评估暴露。
验证：每个主体与权限都有目的、所有者与评审日期；正/负访问测试覆盖项目、强制控制与应用限制；仓库、镜像、日志与交付物中无密钥；下游传播与导出控制被显式测试；例外有时限并受监控。
限制：资料未提供具体安装命令、价格、平台版本或效果数据；任何实时操作前应重新核对带日期的契约，未解决或变更的供应商行为应视为停止条件。