docs: highlight sub2api sentinel report command

.agents/skills/unidesk-sub2api/SKILL.md

@@ -9,6 +9,16 @@ UniDesk 在 G14 k3s `platform-infra` namespace 运维 Sub2API。日常操作统
 
 **固定入口**: `cd /root/unidesk && bun scripts/cli.ts platform-infra sub2api ...`
 
+## 先看报表
+
+查 Codex pool 哨兵状态、账号冻结/恢复、marker 命中、下一次 probe、最近 CronJob run、token/cost 账本时，优先使用这个低噪声报表入口，不要先翻 ConfigMap、CronJob 日志或 Sub2API UI：
+
+```bash
+bun scripts/cli.ts platform-infra sub2api codex-pool sentinel-report
+```
+
+需要机器处理或完整字段时再加 `--raw`；需要更多最近运行记录时加 `--events N`。
+
 ## 先读边界
 
 - 仓库长期开发边界见 `docs/reference/platform-infra.md`，本 skill 承担日常操作手册。
@@ -165,6 +175,7 @@ bun scripts/cli.ts platform-infra sub2api codex-pool configure-local --confirm
 
 ## 排障
 
+- Codex pool 哨兵、账号冻结/恢复、marker-only 判断或 probe 周期看不清：第一步跑 `bun scripts/cli.ts platform-infra sub2api codex-pool sentinel-report`。这个报表是主观察面；只有报表缺字段或需要底层证据时，才继续看 `--raw`、CronJob log、state ConfigMap 或 Sub2API 管理 UI。
 - profile invalid：先修 `~/.codex/config.toml.<profile>` 的 `base_url`、`wire_api`、`model` 或 `auth.json.<profile>` 的 API key；不要在 YAML 中写密钥。
 - Sub2API 卡在 `wait-postgres` / `wait-redis` 或服务内大量 `context deadline exceeded`：先跑 `sub2api status` 看 `networkPolicy.ok`，再跑 `sub2api validate` 看 `postgresCrossPodPgIsReady` / `redisCrossPodPing`；缺失或异常时用 `sub2api apply --confirm` 恢复受控 `NetworkPolicy/allow-all`，不要保留手工 iptables bypass 作为长期修复。
 - pool key 401：跑 `codex-pool sync --confirm` 重建 Sub2API key 与 k3s Secret 绑定，再跑 `codex-pool validate`。