用途：在 macOS 上安装并认证用户实际需要的云 CLI，先询问选择，只装所需，认证尽量采用浏览器/SSO 流程与命名配置文件，避免在机器上放置长期静态密钥。不适用：编写 Terraform/K8s 清单、部署或调试云负载（属项目工作）、容器运行时（用 docker-on-mac）、GitHub CLI gh（用 dev-cli-tools / git-ssh-identity）、Databricks 作业与流水线开发（用各产品工具而非机器安装）。前提：已安装 brew。
主要能力与用法：先询问 AWS、Azure、Google Cloud、Databricks、kubectl、Terraform/OpenTofu 中的哪几项。AWS 用 brew install awscli，再 aws configure sso（配置文件取真实名字）、aws sso login --profile work，以 aws sts get-caller-identity --profile work 验证；推荐 IAM Identity Center 短期凭证。Azure 用 brew install azure-cli，az login 走浏览器，az account show 验证。Google Cloud 二选一渠道不要混用：brew install --cask gcloud-cli 或官方架构 tarball；gcloud init 创建命名配置，gcloud config configurations list 查看；注意 gcloud auth login 与 application-default login 是不同凭证存储；更新方式随渠道不同，勿混用。Databricks 需 brew tap databricks/tap，Homebrew 6+ 用 brew trust databricks/tap，再 brew install databricks/tap/databricks；用准确工作区 URL 执行 databricks auth login --host <workspace-url> --profile work，databricks auth profiles 验证，推荐 OAuth，PAT 为旧方式，配置存于 ~/.databrickscfg。kubectl 用 brew install kubectl，可加 zsh 补全，客户端与集群小版本差不超过 ±1，用 kubectl config get-contexts/use-context 切换。Terraform 需 brew tap hashicorp/tap && brew install hashicorp/tap/terraform（BUSL，已移出 homebrew-core）；OpenTofu 为 brew install opentofu（MPL-2.0），按组织许可政策选择。
安全约束：绝不创建长期静态密钥，也不把凭证写入 ~/.zshrc、dotfiles 或聊天；浏览器/SSO 缓存的短期 OAuth 令牌存于各 CLI 自身配置目录（~/.aws、~/.azure、~/.config/gcloud、~/.databrickscfg 等），应排除在仓库外且不改其权限。多账户/工作区从第一天起用命名配置，破坏性操作不依赖可变默认配置；身份验证输出含账号 ID/租户/邮箱，勿外传。
验证与限制：每个已装 CLI 在新 shell 中运行其身份命令验证；仅客户端工具（无集群的 kubectl、terraform/tofu）以版本验证。常见坑：旧脚本中 brew install terraform 或 google-cloud-sdk cask 已失效；aws sso login 会话数小时过期属正常，长期密钥不是正确解法；cask gcloud 与 gcloud components update 双重管理会漂移，只选一种更新方式；Databricks CLI 现为 1.x；企业代理/VPN 可能阻断浏览器 SSO，可用设备码变体（az login --use-device-code、aws sso login --use-device-code）。