用途：在任何 AWS 相关工作开始前，先确认当前生效的 AWS 配置文件（profile）、区域（region）、账户 ID 和调用者身份，为后续任务提供经过验证的上下文，而不猜测区域或向用户询问 CLI 已能回答的信息。
主要能力：
- 读取当前活动配置文件：优先使用用户明确指定的 profile；否则使用脱敏元数据识别出的 profile。若指定的 profile 不在 aws configure list-profiles 中，会明确指出。
- 解析区域：按顺序取第一个有值的结果——本轮对话中用户明确指定的区域、aws configure list --profile 报告的 区域、aws configure get region --profile 报告的 区域，以上均失败后才询问用户。不会回退到 us-east-1 或任何硬编码默认值。
- 验证凭据并获取身份：执行 aws sts get-caller-identity，一次调用同时确认凭据有效、返回账户 ID（用于构造 ARN）和调用者 ARN。
- 识别 SSO 或假定角色主体：根据 ARN 模式判断调用者类型（IAM 用户、SSO 假定角色、普通假定角色），并提示其 IAM 写能力取决于附加策略、权限集、边界或 SCP。若为 SSO，会立即说明 SSO 身份本身不能说明 IAM 写权限。
使用方式：在 AWS 工作开始时运行以下命令并记录结果： aws configure list-profiles aws configure list --profile "$profile" aws configure get region --profile "$profile" aws sts get-caller-identity --profile "$profile" --region "$region" aws configure list 会遮蔽凭据值并标识其来源，应使用这些元数据命令，而不是解析 AWS 文件或检查含密钥的环境变量。若 CLI 无法在不暴露凭据的情况下解析 profile 或区域，应停止并请用户提供非机密的 profile 或区域值。
适用场景：在 AWS 任务前建立有效上下文；诊断 SSO 会话过期、profile 缺失或配置覆盖；为后续 SageMaker 规划与部署技能提供已验证的上下文。
限制：发现过程可能暴露账户 ID、角色 ARN 或 profile 名称，只报告任务所需内容，绝不暴露密钥或会话令牌；STS 身份检查需要网络访问和有效凭据；有效身份不代表拥有修改资源的权限。绝不打开或打印 ~/.aws/credentials、credential-process 输出、密钥环境变量、访问密钥、会话令牌或 SSO 令牌缓存。