用途：当联邦或联邦对齐系统（含 FedRAMP 云服务）需要首次 ATO、重新授权或已脱离授权状态时，按 NIST SP 800-37 Rev 2 的七步 RMF 流程推进，并产出或审阅核心授权文档：系统安全计划（SSP）、安全评估报告（SAR）和行动计划与里程碑（POA&M）。
主要能力：按 FIPS 199 与 SP 800-60 对信息类型的机密性、完整性、可用性定级并取高水位确定系统整体影响级别（低/中/高）；从 SP 800-53B 选取匹配基线，再通过范围界定、补偿控制和参数赋值进行裁剪，并记录通用（继承）、系统专属或混合控制；依据 SP 800-53A Rev 5 以检查/访谈/测试方法开展评估；汇总授权包供授权官（AO）决策 ATO、有条件授权（cATO）或拒绝（DATO）；建立持续监控（ConMon）与持续授权。
使用方式：先明确系统与授权边界、AO/系统所有者/ISSO 角色及信息类型；云场景需提供客户责任矩阵（CRM）与继承授权。按 Prepare→Categorize→Select→Implement→Assess→Authorize→Monitor 顺序执行，Monitor 阶段循环。输出授权包摘要，含系统与边界、分类、基线与裁剪、实施状态、评估结果、POA&M、授权决定与 ConMon 计划。可用 scripts/process.py 依据 FIPS 199 分类选择 SP 800-53B 基线、汇总控制实施状态并从发现 JSON 生成 POA&M 表。
适用场景：新系统上线前授权、FedRAMP 云服务继承与客户责任增量授权、到期或重大变更触发的重新授权、cATO/持续授权、POA&M 审查。
限制：需具备已定义系统与边界、已识别 AO 等角色、信息类型映射及评估证据来源；具体命令、模板细节与工具配置资料未完整提供，暂未提供。