用途：该技能负责系统的身份基础设施与访问管理设计，包括联邦协议、签发与校验令牌的 IdP、决定权限的授权模型、访问生命周期、特权访问和机器身份。提供 BUILD（构建/配置）与 AUDIT（审计现有身份资产）两种模式，规则文件是两种模式的唯一事实来源。
主要能力：BUILD 模式下按默认正确方式搭建或配置身份组件，包括选择协议（交互式登录用 OIDC Authorization Code + PKCE，服务间用 client credentials 配合 private_key_jwt/mTLS 或工作负载身份联邦，高保障用 FAPI 2.0，仅在依赖方要求时用 SAML）、将 IdP 视为 tier-0 资产、设计授权模型（RBAC/ABAC/ReBAC，策略即代码并配测试矩阵）、在发布前打通生命周期（joiner-mover-leaver、SCIM 预配与取消预配、访问复核）、隔离并限时特权、实现抗钓鱼与自适应认证。AUDIT 模式下枚举 IdP 配置与账号人口，按规则文件逐项扫描，验证后按 Critical 到 Info 分级报告，输出格式为 file:line | rule | severity | effort | fix，并给出各严重级别计数、孤儿/休眠账号统计和前三项系统性修复。
使用方式：构建或配置身份组件时进入 BUILD 模式，配置任何客户端前先阅读 rules/01-federation-protocols.md；审计现有身份资产时进入 AUDIT 模式，从 IdP API 或配置导出拉取数据而非截图，逐条对照规则文件，报告前对通配符重定向 URI、长期未登录账号、授予 * 的角色等逐项核实，未经明确许可不得以发现的账号认证或触发 break-glass。
适用场景：自建 IdP（Kanidm/Keycloak/Authentik/Zitadel）运维、OIDC/OAuth/SAML 流程配置与审计、授权模型设计、SCIM 生命周期管理、特权与机器身份治理、MFA 与联邦保障评估、本地 Active Directory/Kerberos/ADCS 加固。
限制：该技能不重复教授应用层认证仪式（密码存储、会话 Cookie、WebAuthn 仪式、单 RP 的 JWT 签名校验）和应用层对象/功能授权（IDOR/BOLA），这些分别属于 sota-code-security 的 rules/02 与 rules/03；密钥存储、工作负载 OIDC 联邦机制、JWT kid 轮换属于 sota-secrets-management。具体收费、价格、平台支持等信息暂未提供。