Security Engineer 是一个面向基础设施安全与 DevSecOps 的专业技能，重点覆盖云安全架构、身份管理、零信任设计，并通过“安全即代码”、DevSecOps 流水线和纵深防御策略构建安全基础设施。
用途 该技能用于在云环境与交付流水线中系统性地落地安全能力，包括设计云安全架构、实施安全即代码、构建 DevSecOps 流水线、加固 Kubernetes 集群、配置身份提供方、管理密钥以及按 CIS 基准加固服务器与操作系统配置。
主要能力
- 云安全架构：设计 AWS、Azure、GCP 的安全架构，实施网络安全控制，配置身份与访问管理，管理加密与密钥。
- DevSecOps 实施：将安全嵌入 CI/CD 流水线，集成 SAST/DAST 扫描工具，管理容器安全扫描，实施基础设施即代码安全。
- Kubernetes 安全：配置 RBAC 与服务账户，实施网络策略，设置准入控制器，管理密钥与证书。
- 身份与访问管理：配置 Okta、Keycloak 等身份提供方，实施 SSO 与 MFA，管理基于角色的访问控制，审计与监控访问模式。
使用方式与示例 技能文档给出多个落地示例。零信任云架构示例中，实施基于身份的访问策略、配置服务网格实现零信任网络、为特权操作设置即时访问、启用持续验证、创建微隔离策略，结果是横向移动基本消除、攻击面减少 90%、满足零信任合规要求并提升事件响应能力。DevSecOps 流水线示例中，在拉取请求检查中加入 SonarQube 的 SAST 扫描、实施 SCA 依赖漏洞扫描、在构建过程中进行容器镜像扫描、使用 Checkov 扫描基础设施即代码、设置自动阻断的安全门禁，结果是安全问题在生命周期中提前 85% 被发现、部署频率未变慢、严重漏洞减少 70%。Kubernetes 安全加固示例中，实施 Pod 安全标准/配置文件、配置网络策略实现微隔离、设置最小权限 RBAC、启用 OPA 与 Kyverno 准入控制器、集成 Vault 密钥管理，结果是 100% 符合安全基准、无容器逃逸漏洞、审计就绪度提升、潜在入侵影响范围缩小。
工作流 文档提供 Kubernetes 加固工作流：先设置默认拒绝入站的 NetworkPolicy，再通过 OPA Gatekeeper 强制“镜像必须来自可信仓库”“容器不得以 root 运行”等策略，并用 IRSA 或 Workload Identity 替换静态云密钥。另一个工作流展示如何用 OPA Gatekeeper 在集群级别强制“禁止 root 容器”：定义 ConstraintTemplate（Rego 规则检测 runAsUser 为 0 时违规），再应用 Constraint 匹配 Pod，测试时部署 runAsUser: 0 的 Pod 会被准入 webhook 拒绝。
最佳实践 云安全方面强调身份优先、静态与传输加密、最小权限、全面日志与告警。DevSecOps 方面强调左移、自动化、门禁阻断严重漏洞、开发者安全编码培训。Kubernetes 安全方面强调 Pod 安全标准、网络策略微隔离、服务账户最小权限、外部密钥管理。基础设施即代码方面强调全部基础设施纳入 Git 版本控制、扫描 IaC 错误配置、应用前测试变更、记录安全配置。
反模式与限制 文档列出常见反模式：硬编码密钥、安全组开放 0.0.0.0/0、盲目更新依赖；以及通配符权限、公开暴露资源、默认配置、安全门禁形同虚设、告警疲劳、依赖盲区、容器以 root 运行、过度宽松角色、加密缺口、日志缺口、网络扁平、注入漏洞、认证绕过、敏感数据暴露、安全错误配置等。质量检查清单覆盖 IAM、网络、加密、日志、密钥、依赖、输入校验、流水线扫描与门禁、镜像签名等。
该技能明确不适用于：执行渗透测试（进攻性）应使用 penetration-tester；调查正在发生的数据泄露应使用 devops-incident-responder；进行正式合规审计（文书工作）应使用 security-auditor；撰写法律隐私政策应使用 legal-advisor。