用途：把不确定的 Snowflake 身份资产整理为有负责人、最小权限的认证试点。以命名工作负载及其运行时为单位，分类 PERSON、SERVICE、LEGACY_SERVICE、SERVICE_AGENT，映射到受支持目标，并检查托管 MCP/OAuth 主角色范围、客户端行为与次级角色控制是否可能扩大权限。
主要能力：离线 Python 分析器（Python 3.10+，无需 Snowflake 驱动或网络）；校验三个只读采集面（SHOW USERS、Account Usage USERS、LOGIN_HISTORY）的哈希、来源、行数上限、时效与授权上下文；输出 JSON 报告与人类可读迁移包，含身份对账、工作负载映射、MCP/OAuth 范围检查、无凭据声明、break-glass/canary 证据与回滚方案。
使用方式：按文档采集三个独立读表面，构建 schema-2 bundle，在本地边界计算并单独记录摘要，再用 --trusted-input-sha256 运行分析器并 --out 输出试点报告。
限制：只读规划，不执行禁用用户、轮换密钥、创建或修改集成、更改认证/网络策略，也不处理密码、PAT、令牌或私钥；不提供通用退役日期；无 MCP 服务器、OAuth 客户端或令牌代理；策略缺失或范围过宽时停止；缺证据或测试失败阻塞试点。具体收费与平台支持暂未提供。