用途：为组织设计并落地以权限为核心的 RBAC（角色仅作管理分组），覆盖权限目录、角色矩阵、分配矩阵与执行矩阵，依赖 kinde-b2b 提供的已填充租户契约。
主要能力：第一步必须调用 kinde-b2b 并消费其租户契约，无法调用则标记 blocked 且不得自行重建；随后选择单一作业：design、provision、assign、enforce、troubleshoot，按分支执行对应步骤并完成第 8 步验证。支持目录与角色的设计、配置，按用户加组织分配角色与直接权限，注册受保护 API 并校验 audience 与权限键，处理声明新鲜度与 refreshUserClaims。
使用方式：服务器端决策使用已验证的权限键；管理型 MCP 写入仅限创建角色与权限及读取部分关系，不负责把权限附加到角色或把角色权限分配给用户，更广的写入走控制台或 Management API。配置文件读取顺序为 CATALOG.md、PLANES.md、ENFORCEMENT.md、SYSTEM.md、REFERENCES.md。
限制：在用户授权实现前按仅设计处理；共享目录写入影响整个业务；分配要求用户已属于该组织；用户权限键、机器作用域、功能开关与计费权益是不同机制，功能开关与计费由各自所有方处理，所有者不可用则阻塞该分支；缺少框架适配器会阻塞实现。具体价格、平台覆盖等暂未提供。