用途：面向已用 kongctl YAML、_defaults.kongctl 或 kongctl plan/apply 工作流管理 Konnect 资源的仓库，负责编写、更新、审查并执行声明式配置。若任务依赖实时 Konnect 状态且 MCP 可用，优先使用共享的 kong-konnect MCP 服务器；只读检查、精确 get 语法、输出整形应交给 kongctl-query。需保留仓库既有声明式工具链，除非用户明确要求，否则不要把 decK 或 Terraform 仓库转换为 kongctl。
主要能力：按需加载 references/commands.md（命令选择、保存计划与内联执行、adopt/dump、输出模式、护栏标志）、references/resources.md（归属布局、_defaults、父子元数据、!file、!ref、schema 发现）、references/apiops-openapi.md（从 OpenAPI 生成或更新 apis 资源）、references/cicd-github-actions.md（GitHub Actions 校验或部署）、references/troubleshooting.md（预览或执行失败、漂移与命名空间问题）。
使用方式：先确认仓库通过 kongctl 而非 decK/Terraform 拥有目标 Konnect 切片，确认 CLI 可用且认证正常（如 kongctl get organization -o json），确认命名空间、profile、文件范围及 !file 是否需要 --base-dir。预览阶段按意图选择最小预览面：审查/CI 用保存计划或限定 diff；执行路径用限定 diff 或内联 --dry-run；adopt 先只读检查目标及其标签并说明确切的命名空间标签变更。仅在预览且用户确认后才执行 apply、sync、delete；sync 与 delete 视为破坏性操作。执行后重跑对应预览路径验证无残留漂移。
适用场景：kongctl 声明式仓库的清单编写与修复、OpenAPI 驱动的 API 建模、adopt/dump 集成、CI/CD 工作流。
限制：adopt 仅用于已存在但未托管的父资源，只打命名空间归属标签，不重写资源字段；--overwrite-namespace 需单独确认；不得读取凭据文件或打印、记录、提交令牌；!file 路径与 --base-dir 须留在仓库内，禁止绝对路径、逃逸符号链接及引用凭据/密钥/env 文件；--recursive 树内不得放非资源 YAML；范围不清时检查现有清单或实时状态，不要臆造默认资源包。若命令被沙箱阻止，应先请用户运行或批准重试。资料未提供具体命令示例、价格与平台细节。