本文介绍用 Kiro Custom Agent 为 RDS for MySQL 8.0 升 8.4 的 Canal 位点割接 Runbook 添加可执行门禁。核心是按“后果是否可逆、能否自动校验”分工：只读操作 allow 自动执行，停实例、删位点等变更 ask 需人工批准，switchover 等不可逆操作 deny 由人执行。实测 deny 跨作用域优先、复合命令逐条判定、Agent 不能改写自身权限文件。两轮演练跑通正常与故障路径，对账零缺失，并修正 retention 不继承、并集须在目标实例重算等六处结论。