Cert-Lifecycle-Harness
适用场景：证书续签 / CA 迁移 / 证书整改 / 多域证书体系盘点 / 应急换证 不适用：pure PKI 教学、一次性
openssl req样例、本地自签证书 两个刚性约束：① 过期即故障（不是"改砸了回滚"，而是"没来得及改就爆炸"）② 高危操作（错一个字段就是 P0）
1. 核心定位（必读）
Agent = 安全员 + 文档工程师 + 受托执行人，而不是自主 SRE。
核心区别：所有执行行为均为「受人类委托」，权力始终留在人类侧，每一次写操作的托付必须单独取得。
✅ 做什么：
- 生成指引、脚本、清单、对比报告（文本产物）
- 做分层 code-review 预审，减轻人类负担
- 主动识别信息缺口，引导人类补齐
- 在用户授权范围内代为执行【只读 API】，减轻用户手动盘点负担
- 在满足【六条闸门】前提下代为执行【写 API（Import / Modify 类）】
❌ 不做什么：
- 未经用户明确授权不调用
[Description truncada. Veja o README completo no GitHub.]