用途
Asgardeo（WSO2 身份平台）通过 asg CLI 进行端到端管理。适用于任何需要运行 asg 命令或操作 Asgardeo 组织的任务，包括管理单个用户、应用或角色，注册与认证应用、用角色与 API scope 进行授权、管理身份资源，以及将 Asgardeo SDK 接入用户代码。
主要能力
- 为应用添加登录/SSO/社交登录/MFA/无密码登录（认证应用）
- 添加角色与权限、按角色限制功能、用 scope 保护 API（应用授权，基于 API scope 的角色访问控制）
- 为 AI 智能体创建独立身份与凭据，或让其代表用户行事
- 保护 MCP 服务器，要求登录才能使用其工具，并按 scope 控制工具
- 直接通过 CLI 创建/列出/更新/删除用户、组、角色、应用、API、IdP、品牌、组织、智能体
- 通过管理 REST API（
asg api）配置无 CLI 动词的功能领域，如同意管理、模板、治理、会话、用户存储、Webhook 等 - 对失败进行诊断排查（403、登录无法完成、claims 为空等）
使用方式
工作流程中有两个前置关卡：会话（Gate 1）与已批准的计划（Gate 2）。
- 确认 CLI 与会话：用
asg --help检查 CLI 是否存在；缺失时可让用户从发布页下载，或运行node <skill>/scripts/install-asg-cli.js（下载对应平台二进制、校验和验证、安装至~/.local/bin并修复 PATH）。用asg status确认已认证；未认证时由用户自行运行asg login。 - 先提问、再写计划、然后等待批准：用问题询问轨道所需的名称、URI、适用场景等，待回答后按“我将创建什么”“你的代码会有何变化”“如何知道它生效”三个标题撰写计划，每个资源一张小表，然后结束回合等待批准，批准前不创建任何资源。
- 按意图路由：添加登录 → 认证应用；添加角色/权限/按角色限制 → 授权应用；智能体身份；保护 MCP 服务器；管理资源；故障排查。
- 命令约定：命令模式为
asg <resource> <action> [flags]，各层级均有--help；无人值守用-N -y，可解析输出用--format json（此时 stdout 为纯数据），但apps protocol view例外（会显示客户端密钥）。SDK 的 baseUrl 与控制台链接取自asg status的 Base URL 行。 - 凭据安全：客户端与智能体密钥不会经过聊天、执行的命令或写入的文件，始终留在控制台或直接写入
--env-file；唯一例外是一次性测试用户密码，在总结中报告一次。 - 收尾：每个创建或变更的资源均在总结中附带控制台链接（形如
https://console.asgardeo.io/t/<org>/app/<resource>/<id>），便于用户检查或调整。 - 失败先诊断（Track D）再换其他方案；403 是角色权限缺口，重新登录无法修复。
参考文件按需加载：auth.md、planning.md、cli-overview.md、authorize-app.md、authentication-methods.md、sdk-integration.md、agent-identity.md、mcp-server.md、management-apis.md。官方文档位于 https://wso2.com/identity-platform/docs，每页有 markdown 孪生版本（路径加 .md），并由 docs/llms-full.txt 索引。
适用场景
- 在 SPA、服务端渲染/机密应用或移动应用中接入登录
- 为 API 或应用功能设计基于角色的访问控制
- 为 AI 智能体配置独立身份，或让其代表用户借用权限
- 用 Asgardeo 令牌保护 MCP 服务器并按 scope 限制工具
- 批量或日常管理 Asgardeo 组织内的身份资源
- 排查 CLI 命令、应用登录、MCP 连接或智能体令牌问题
限制
- 需要先具备有效会话与已批准计划，批准前不创建资源。
- 凭据不得经过对话或命令，仅能存于控制台或 env 文件。
- 应用程序的 client secret 需用户在控制台页面自行读取；控制台专属步骤仅能提供链接。
- 默认签发不透明（opaque）访问令牌，需后端读取 token 的场景须改用 JWT。
- 将应用切换为 Organization audience 会永久删除其应用角色。
- 新分配的角色或 scope 需该用户重新登录后才生效。
- 安装脚本校验和不匹配时必须停止，不得绕过。
- 尚未提供该技能的具体收费、价格与性能数据。