用途：治理 Microsoft Fabric OneLake 目录的健康、保护与信任，覆盖租户级与数据所有者级两类权限范围。
主要能力：按“权限层级 × 操作类型”分为四种模式——admin-audit（租户管理员只读审计）、admin-remediate（租户管理员受控写入）、dataowner-audit（非管理员只读检查）、dataowner-remediate（数据所有者自助写入）。治理三大支柱为健康、保护、信任，涉及域与工作区健康、容量状态、项目清单与陈旧度、敏感度标签与 DLP 可见性、描述/认可/标签覆盖等。
使用方式：先做审计再修复；按调用者可访问的 API 面选择模式，而非按职位。所有 api.fabric.microsoft.com 调用必须携带 x-ms-fabric-skill: onelake-catalog-govern-cli（az rest 用 --headers "x-ms-fabric-skill=onelake-catalog-govern-cli"），包括每次 LRO 轮询与重试。查找工作区或项目 ID 时先列出再用 JMESPath 过滤。
限制：审计模式不得写入；删除域、删除标签定义、批量分配工作区、批量改标签、写租户设置等不可逆操作须先通过确认门。认可、DLP 策略、管理员删除项目等无写入 API，只能生成可执行人联系清单。非租户管理员的域/工作区管理员目前无 API 路径获取其范围治理状态，dataowner-audit 仅能报告可直接访问的工作区。异步 202 不得直接视为成功，需轮询至终态。401/403 不得绕过 RBAC。