用途：为 Workhuman 客户租户选择并记录受支持的访问路径，包括交互式 SSO、Workhuman 托管集成（如 Microsoft Teams、Workday）或客户签发的 API 凭据，并建立归属、验证最小安全能力。
主要能力：区分交互式 SSO、托管连接器授权与 API 凭据三类路径；构建访问矩阵，覆盖主体、角色或作用域、有效期、轮换、撤销与应急归属；检查仓库中猜测的主机、未记录路由、硬编码密钥与混合租户配置；输出所选访问路径、合同证据、访问矩阵、无密钥配置、验证回执、轮换与撤销负责人及未决供应商问题。
使用方式：先记录租户、产品、数据类别、预期读写、环境与负责人；将路径分类；重新获取适用的第一方产品页与客户当前实施文档；使用 Read、Glob、Grep 检查本地配置，WebFetch 复核第一方公开与授权租户合同，Write 或 Edit 仅用于无密钥配置与脱敏证据；经授权配置后运行最小的文档化只读检查，仅保留脱敏状态与关联证据。
适用场景：Workhuman 租户接入与集成入门、SSO 与托管集成选型、API 凭据治理、访问矩阵与轮换撤销规划。
限制：Workhuman 公开页面未定义通用 API 主机、OAuth 流程、作用域集或验证路由，需从客户当前合同获取；不得复用浏览器会话、推断 client_credentials、复制管理员 Cookie 或将密钥写入文件、命令、提示、日志或回执；未经相关客户与供应商负责人批准，不得更改 SSO、分配权限、启用集成、签发凭据或测试生产写入；客户 API 文档不可用时停在决策记录并向项目负责人或 Workhuman 索取。