用途：引导完成共享凭据连接与管理员激活后，验证一个只读 Grafana 可观测性配置及其能力包。使用场景是用户要求配置 Grafana 可观测性时。
主要能力：提供安全契约与工作流。仅使用 grafana_profile_status 和 grafana_list_packs 两个工具，其余 Grafana 工具用于后续证据流程。只接受 profileAlias，绝不索取或接收令牌、密码、Header、Grafana URL、数据源标识、查询、仪表盘 JSON 或凭据引用。不得使用 HTTP、浏览器、shell 命令、提供方 CLI 或其他监控插件作为回退。不得创建、编辑或删除仪表盘、告警、数据源、部署或运行时状态。LIVE、REPLAY、SIMULATED 视为不同来源，名为 prod 不代表可连接实时系统。
使用方式：先询问用户是否已有管理员激活的 profileAlias，不要枚举或猜测。若无别名，停止调用 MCP 工具。在受支持的 macOS 构建上，让用户在自己的交互终端中从插件根目录运行：node ./scripts/observabilityctl.mjs grafana connect --url <grafana-origin> --profile <profile-alias>。别名须小写、不超过 80 字符并匹配指定正则。终端流程无回显提示输入只读凭据，仅发现受限读权限和已认证数据源，打印非秘密预览，直到输入 ACTIVATE 才保存。管理员激活需单独步骤，存储的是共享 profile 和钥匙串凭据，不创建监控权限。Viewer 角色不保证只读。激活前操作者须在受检 checkout 与信任根之外提供 0700 收据父目录，先运行 trust-root validate 再运行 trust-root activate，并配置本地 MCP 启动器的环境变量后重启 worker。
限制：本 0.1.0 版本仅在 macOS arm64 支持无缝原生设置；macOS x64、Linux、Windows 和 musl 会失败关闭，因其原生凭据资产未包含。若 CLI 报告凭据存储不可用，应报告平台或组装限制，不得通过文件、环境密钥或 shell 凭据助手重试。状态语义：COMPLETE 仅表示检查完成，不代表后续证据健康；EMPTY 表示无已激活包；PARTIAL 表示有缺失或混合；ERROR 需仅报告已返回的脱敏错误码并停止。支持的包 ID 有 grafana.infrastructure、grafana.apm、grafana.logs、grafana.iot-edge、grafana.business-kpis，但只有 grafana_list_packs 返回的已激活项可用。未在资料中提供的收费、价格等信息暂未提供。