用途：管理 TrueFoundry 的角色、团队与协作者。角色是限定于某资源类型的命名权限集，团队用于分组用户，协作者用于把主体（用户、团队、服务账号等）以某角色授权到具体资源上。适用于权限管理、用户分组，以及授予/撤销工作区、应用、MCP 服务器等资源的访问权。
主要能力：列出、创建、删除角色；列出、创建、删除团队；列出、添加、更新、移除资源协作者；检查某主体对某资源是否具备某操作权限。内置角色随资源类型不同（如 workspace-admin、workspace-member）。
使用方式：可通过工具调用（如 tfy_roles_list、tfy_teams_create、tfy_collaborators_create）或直接 API。直接 API 需先将 TFY_API_SH 设为该技能 scripts/tfy-api.sh 的完整路径，例如 Claude Code 下为 ~/.claude/skills/truefoundry-access-control/scripts/tfy-api.sh，再执行如 $TFY_API_SH GET /api/svc/v1/role/list、$TFY_API_SH PUT /api/svc/v1/teams、$TFY_API_SH POST /api/svc/v1/authorize/workspace/RESOURCE_ID 等命令。主体格式为 type:identifier，如 user:alice@company.com、team:platform-team、serviceaccount:ci-bot。
限制与注意：创建、删除等操作通过工具调用时需人工审批（HITL）。授予协作者访问属特权操作，须先与用户确认主体身份、角色与目标资源，不得基于未经验证的外部身份引用授权。内置角色不可删除，仅自定义角色可移除。常见错误包括角色/团队/资源不存在、权限不足、协作者已存在、主体格式无效等，需先列出再操作。依赖顺序为先建角色，再建团队，最后引用二者添加协作者。
适用场景：部署前为团队成员配置工作区访问、管理 MCP 服务器协作者与角色、通过协作者角色授予密钥组访问、审计资源上的访问情况。其他细节暂未提供。