01
安装 KT CLI
接着运行 kt version，退出码为 0，输出里有版本号。
响应体以 < 开头是网页，不是安装包。停，不要当成装好了。
Agent 按契约执行
KT CLI
按 steps 顺序执行。每步只跑 command。success 不满足就停。不要发明命令，不要把省略号当成参数。
四步装好
macOS、Linux 用 curl。Windows 用每步下面的 irm 命令。
02
登录
kt secret whoami 印出类型 human。
登录确认在官方服务 Bot 的私聊。不要去「KT 凭据审批」群点登录。
03
安装 KTSecret 组件
命令退出码为 0。这一步不取值。
不要用 kt secret get 判断这一步是否成功。
04
登记这台电脑
kt secret device list 里这台机器是 pending 或 approved。
必须在要干活的那台机器上、用本人账号执行。不要给 CI runner 登记，不要在别人的电脑上 enroll。
Agent 读 /agent.json，按 steps 执行。人看这一页。两份是同一份数据。
看见这些字怎么处理
| 你看见的字 | 下一步 |
|---|---|
| 需要已批准设备签名 / device_required | 在这台机器上再执行 enroll，等审批群或 Console /security/devices 批准。不要当成缺 get。 |
| 主体待开户批准 / subject_pending | enroll 就是开户申请。批设备时会一并开通。登录确认仍在官方 Bot。 |
| 平台代持凭据禁止取出明文 / platform_held | 改用 kt gh、kt k8s、kt cf、kt aliyun。不要给自己开 get。 |
| 对该 locator 需要 get 权限 | 先看输出里有没有「需要已批准设备签名」。有就 enroll，并升级 CLI。 |
不要做
- 用 kt secret get 验收「我装好了」。
- 把命令里的省略号当成真实参数。
- 向管理员要控制面 PAT、AK，或开 15 分钟委托。
- 在审批群里点登录确认。
- 给 CI runner 登记设备。