@inf-monkeys-tech/monkeys-cli 0.12.13 → 0.12.14

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@inf-monkeys-tech/monkeys-cli",
-  "version": "0.12.13",
+  "version": "0.12.14",
   "packageManager": "bun@1.3.14",
   "description": "Monkeys command-line client for AI agents, automation, and interactive use",
   "type": "module",
@@ -48,6 +48,15 @@
     "commands": "./dist/commands",
     "topicSeparator": " ",
     "topics": {
+      "user": {
+        "description": "Manage Kernel platform users and their direct group memberships"
+      },
+      "group": {
+        "description": "Manage Kernel permission groups, direct members, and permission sets"
+      },
+      "permission": {
+        "description": "Discover the Kernel permission catalog"
+      },
       "dev-agent": {
         "description": "Manage Dev Agent Work"
       },
@@ -134,5 +143,5 @@
   "publishConfig": {
     "access": "public"
   },
-  "monkeysReleaseCommit": "74d5f555901eec2b86c3bb30e69e6f5bfc3dd768"
+  "monkeysReleaseCommit": "f3bb1c9de08289ab9bdc646641d9e7deed5f5f9b"
 }

package/skills/monkeys-shared/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: monkeys-shared
-description: 通过 monkeys CLI 选择多租户或私有化部署的 Subscription、Context、Team 与 Identity，并遵循统一的输出、风险、错误、安全和 CLI/Skill 版本规则。用户询问 Monkeys 平台能力、订阅上下文、命令参数、结构化错误、版本兼容或其他 monkeys-* Skill 需要公共规则时使用。
+description: 通过 monkeys CLI 选择 Subscription、Context、Team 与 Identity，管理 Kernel 平台用户的直接组成员和自定义权限组，并遵循公共输出、安全、错误和版本规则。用户询问平台能力、用户/权限组管理、订阅上下文或其他 monkeys-* Skill 需要公共规则时使用。
 ---
 
 # Monkeys Shared
@@ -19,6 +19,7 @@ description: 通过 monkeys CLI 选择多租户或私有化部署的 Subscriptio
 ## 按需读取
 
 - 平台领域与命令入口：[平台能力地图](references/platform-overview.md)
+- 平台账号、用户组、权限组与批量成员治理：[用户与权限组](references/identity-governance.md)
 - Secret、确认、批处理与结构化错误：[安全与错误](references/safety-errors.md)
 - 所有列表、搜索和行读取命令的统一续页规则：[分页](references/pagination.md)
 - CLI/Skills 同版本合同：[兼容性](references/compatibility.md)

package/skills/monkeys-shared/references/identity-governance.md

@@ -0,0 +1,47 @@
+# 平台用户与权限组
+
+这是 Kernel 全局管理，不是 Studio 分享目标 `identity list/get`，也不是 Data Tag Group。先按 monkeys-shared 公共流程核对版本、Subscription 与实际身份，再读 `monkeys schema <命令>`。全部命令要求显式 `--subscription`，不接收也不继承 Team。
+
+## 发现和边界
+
+- `user list/get` 查平台账号的安全投影，不提供创建/删除账号、改密码/API Key 或禁用状态写入。
+- `group list/get` 查权限组；`permission list` 查现有权限定义，不创建/删除权限定义。
+- `user group list <user-id>` 的分页 `items` 带 `source=direct|mapped`，`direct/mapped` 是当前页的分组投影。同一组可能有两种来源。
+- `group member list <group-id>` 仅查直接成员；`group permission list <group-id>` 查配置权限。列表均遵守标准分页，完整读取要检查 `hasMore=false`。
+- `super_admin` 成员受保护。`member/platform_admin` 等系统组定义/权限不能修改，但服务端允许的直接成员可增删。`platform_admin` 被移除后，业务组和组织映射不会被一并清空。
+- 自定义组支持 `group create/update/delete`，输入走 `--input-file` 或 `--input-json`。删除须无直接成员，且无法恢复原 ID。
+- 写操作必须先预览，并只在用户批准已展示的精确目标后使用 `--yes`。CLI 校验不是服务端授权承诺。
+
+## 单个成员变更
+
+`--ids` 可重复：在 `user group add/remove` 中表示组 ID；在 `group member add/remove` 中表示用户 ID。`--ids-file` 是严格 JSON 字符串数组。不得按名字猜 ID，空数组不表示全选。
+
+```bash
+monkeys group member remove <group-id> --subscription <subscription> --ids <user-id> --dry-run
+monkeys group member remove <group-id> --subscription <subscription> --ids <user-id> --yes
+```
+
+## 全体成员或其他批量变更
+
+```bash
+monkeys group member remove <group-id> --subscription <subscription> --all-members --dry-run --plan-out removal-plan.json --page-size 100 --page-limit 100
+monkeys group member remove <group-id> --subscription <subscription> --plan-file removal-plan.json --yes
+```
+
+第一条只完整枚举直接成员并冻结名单，不执行修改。第二条必须基于用户审核的文件；之后新增成员不自动进入范围。普通多 ID 写入也必须先 `--dry-run --plan-out`，再用 `--plan-file --yes`，不能跳过预览直接全量执行。
+
+清单绑定命令、目标、实际操作者、Subscription、部署/租户、合同 digest 与相关成员前态；发生变化会拒绝执行。每批最多 200 个增量，逐批重新检查、写入和读回，整个作业不是一个事务。分页不完整、重复 ID/token、总量证据不一致都必须停止。
+
+如果范围包含操作者自己，CLI 要求能证明保留独立受保护 super_admin 权限；失败时换用已有且合适的授权操作者。不得偷偷排除自己、授予备用管理员权限或修改清单绕过检查。
+
+## 整组权限替换
+
+`group permission set <group-id> --input-file permissions.json --dry-run` 只预览。文件必须显式为 `{"permissionIds":[...]}`，缺字段/null/未知 ID 都报错，`{"permissionIds":[]}` 才是有意清空。该操作是整组替换，不是增量追加；服务端仍是后写覆盖，预检/读回不等于原子版本检查。
+
+## 报告和失败处理
+
+- 默认在当前目录 `.monkeys-identity/` 保存前态、批次写前记录、已核验回执和最终报告；`--plan-out/--report/--snapshot` 指定文件绝不覆盖。文件含账号/组标识和权限配置，不含凭据；应保存在受访问控制的目录，不提交到仓库或随意分享。
+- 批量结果分别为 `completed/skipped/failed/unknown/pending`。退出码 9 表示执行或核验未完整完成，不是“全部没改”。
+- `inverse` 只包含确认完成的变化，供另一次获授权的恢复使用；不得自动反向执行，也不得用旧计划继续重放。
+- `unknown`、超时、无效响应、授权丢失或读回失败后，只读核对精确目标。保存 `snapshot/reports/failureReport/requestId`；不能用 Raw API、HTTP、UI 或数据库绕过新命令的兼容/安全门禁。
+- `IDENTITY_OPERATION_UNAVAILABLE` 表示部署尚未公开兼容接口或合同已漂移。报告发布/部署限制；获授权更新后 `--refresh` 再预检。安装 CLI、部署 Server、执行用户数据清理是三个独立步骤。

package/skills/monkeys-shared/references/platform-overview.md

@@ -15,6 +15,8 @@
 
 ## 覆盖边界
 
+- 平台用户/权限组管理使用 `user`、`group`、`permission`，先读 [用户与权限组](identity-governance.md)。这些命令固定 Kernel 全局；旧 `identity` 分享目标发现保持独立。
+
 - 语义命令覆盖的是 Agent 高频、可建立安全合同的能力，不等于 Kernel/Studio 界面中的全部导航模块。
 - Applications、Models、Identity、Billing 等领域若没有对应语义命令，先用 `monkeys --help` 与领域 Help 确认；不要因为界面存在入口就臆造 CLI 命令。
 - 只有满足受控降级条件时，才通过 CLI 的 `api list/describe/call` 使用 Server OpenAPI。仍然不得直接发送 HTTP。