用途：解释某个身份为何能或不能访问 Konnect 界面、看到或修改资源，并找出最窄的下一步。默认先做只读检查，在区分资源是否存在、端点选择、认证与授权之前，不建议改动角色或团队。仅用于操作员或自动化对 Konnect 本身的访问，不用于下游 API 消费者认证、Dev Portal 应用凭据或网关运行时认证。
主要能力与用法：优先使用会话中可用的共享 kong-konnect MCP 服务器做实时检查；用 kongctl-query 做只读检查、身份检查与资源存在性检查。需要将访问相关资源代码化时，沿用仓库既有声明式工具链：kongctl YAML 用 kongctl-declarative，HCL 管理的 Konnect 资源用 terraform-konnect。若依赖实时状态而 MCP 未连接，应尽早说明并改用 CLI 或用户提供的产物。仓库中的声明式配置不能证明用户应能看到或编辑实时资源，实时访问优先于预期状态。
检查顺序：先确定失败界面（MCP、kongctl、Konnect UI、Konnect API 或 Portal 操作员 UI）、失败操作（认证、列出、获取、编辑、创建、删除）、资源范围（组织、控制平面、门户、目录资产、分析界面或 Event Gateway 资源），以及是“看不到”还是“看得到但改不了”。随后先验证端点与身份再谈权限，CLI 可用 kongctl get organization -o json 与 kongctl get me -o json；成功说明认证存在，失败则先修认证或端点。再区分资源存在性与可见性，评估范围与角色叠加（角色可叠加、资源级角色同样重要、读权限不等于写权限），并检查 IdP 托管或外部身份约束。最后归类根因并给出最小下一步。
限制：资料未提供具体收费、价格、平台或效果信息；不适用于开发者注册、应用凭据或 Dev Portal 认证，此类问题应转交 konnect-app-auth。