本卡為 FR-190 母案。Agent 主控台現在只有 7 個權限範圍，一個「設定」包 9 頁、一個「下載」包 5 種檔；拆成 11 個功能 × 檢視／設定／執行／下載共 26 顆，同步機制沿用。14 張卡 7 批；設計 ~/Projects/Billows/Audit-Manager/compliance-manager-be/docs/features/FR-190-2611-agent-console-capabilities/design.md；子卡清單在末段。

這案在做什麼（白話）

Agent 主控台是裝在客戶機器上的管理畫面。誰能進、進去能做什麼，由主系統的角色決定：使用者點「進入主控台」時主系統查他持有哪些 Agent 權限，寫進一張五分鐘的入場券；斷線時用的離線操作者名單也是每次心跳依當下權限重算下發。這套機制是對的，問題在顆粒：只有 7 個，管理員做不到「可以下載掃描報告但不能下載證據檔」「只管 LDAP 不碰工具帳密」。做完之後：角色設定頁「Agent 管理」底下多一個「Agent 主控台」子頁，26 顆依 11 個功能分組逐顆勾；有一顆「比照主系統功能帶入」鈕一次帶入對應的；主系統先升、Agent 還沒升時使用者照常登得進，只是新權限的頁不出現並有一句提醒；主系統派下來的掃描紀錄歸「掃描 · 檢視」，不再要「設定」權限才看得到。

關鍵決策（D1～D9，細節 design.md §3）

• D1 11 功能 × 檢視／設定／執行／下載＝26 顆；動作是角色頁現成的詞。
• D2 舊 Agent 收到不認得的範圍：丟掉、照常登入、頂部橫幅；全部不認得才拒。
• D3 主系統派的掃描紀錄歸「掃描 · 檢視／下載」，不分來源。
• D4 角色頁一個「Agent 主控台」子頁（ui_routes tree_page），26 顆依資源分組、標籤帶前綴。
• D5 舊 7 顆授權展開到新顆後刪舊顆（含 pattern 角色、三張關聯表）。
• D6 離線操作者只不下放「更新」兩顆；重啟下放（推翻 FR-166 D14）。
• D7 主系統端點照 design §5.6 換顆。
• D8 票上原樣寫 26 個 <資源>.<動作> 字串。
• D9 不跟主系統功能連動；等價的兩處（工具帳密、金鑰換發）守同一顆；其餘靠角色範本預帶＋「比照帶入」鈕（依 protocol MIRRORS，一次性可再拔）。

怎麼拆（批＝可同時派的一組）

• 批 1 契約：P0-0 環境卡（兩 repo 改走本機路徑）＋ P0-1 protocol 26 顆清單。
• 批 2 四邊接上：P1-1 remote-agent 三張表推導、P1-2 主系統 migration、P1-3 主系統端點換顆＋矩陣、P1-4 Agent 驗票丟不認得、P1-6 主控台 FE 換顆＋橫幅。
• 批 3：P1-5 Agent 60 條守門換顆（依 P1-4）、P1-7 主站角色樹文案（依 P1-3 的 capabilities.js）。
• 批 4～5 帶入鈕：P2-1 唯讀端點 → P2-2 角色頁鈕。
• 批 6～7 收口：P3-1 兩支套件發版 → P3-2 改回釘版實打 ＋ P3-3 SPEC 與手冊。

共同紀律