用途：为人工操作的 RemoFirst 账户做安全访问准备，不虚构 API 密钥、base URL、SDK 或机器凭证。公开契约仅覆盖客户端账户激活、密码登录、可选 2FA、经理组，以及具名的 Workday 或 ADP 连接器设置；任何自定义 API 访问在 RemoFirst 提供客户专属书面合同前均视为不可用。
主要能力：从欢迎邮件开始激活客户端，需设置密码、接受条款、公司审核并至少一个账单联系人；客户端 2FA 使用验证器应用和一次性恢复码；经理组区分 PTO、费用、薪资、财务、人员与团队管理职责，未选择任何组时默认成为 Superuser。
使用方式：记录人员、公司、团队、业务职责、审批人与申请时长，拒绝共享登录或通用邮箱作为账户所有者；仅从预期欢迎邮件激活，确认公司记录、条款、隐私声明与账单联系人；将职责映射到最窄的已记录组，避免因跳过选择而默认 Superuser；在 Account preferences > Security 启用 2FA，恢复码存入批准的密码库，不得放入仓库、工单、聊天或输出；由第二名操作员核验可见团队与允许区域，但不打开员工文档或导出个人数据；记录所有者、组、2FA 状态、复核日期与移除触发条件，证据文件不得含密钥值或含个人数据的截图。
工具纪律：用 Read、Glob、Grep 检查本地访问策略与配置；Write 或 Edit 仅用于已批准的脱敏访问矩阵或运行手册，这些工具不授权创建账户、登录、改组或捕获密钥。
审批边界：激活账户、分配 Team Admin 或其他特权组、更改账单联系人、禁用 2FA 或使用实时员工记录前，均需明确批准；绝不要求用户粘贴密码或恢复码。
输出：返回账户所有者、公司/团队范围、申请与授予的组、2FA 与恢复码保管状态、账单联系人状态、复核/移除日期、脱敏验证证据，以及所有仍待批准的实时操作。
错误处理：缺少邀请先查垃圾邮件再走支持渠道；公司错误或条款异常应停止激活并上报；未选组时将隐式 Superuser 视为阻塞项；丢失验证器使用一次性恢复流程，轮换替换码且不得在任务输出中记录任何码。
限制：公开一方来源未发布通用 RemoFirst API 或 SDK 契约，不要复用通用 API 密钥示例；生成 API 令牌的请求在存在提供商签发的合同前应被拒绝。