用途
EKS Security 是一套针对 Amazon EKS 集群的安全加固与最佳实践指南，遵循 2025 年最佳实践，状态为生产可用。它用于在配置集群安全、实施 Pod 安全、管理密钥、准备合规审计等场景下提供系统化的安全控制方案。
主要能力
该技能围绕七层安全架构组织内容：
- 控制平面安全：私有 API 端点、审计日志、KMS 密钥加密、IP 允许列表。
- 认证与授权：IAM Roles for Service Accounts（IRSA）、最小权限 RBAC、Pod Identity、服务账户隔离。
- 工作负载安全：Pod 安全标准（restricted）、安全上下文、只读根文件系统、非 root 用户、资源限制。
- 网络安全：网络策略（VPC CNI 1.14+）、Pod 安全组、节点私有子网、VPC Flow Logs、服务网格 mTLS。
- 密钥与数据保护：External Secrets Operator、AWS Secrets Manager 集成、加密 etcd、自动轮换。
- 镜像与运行时安全：Amazon Inspector 扫描、准入控制器（OPA/Gatekeeper）、运行时监控（Falco、GuardDuty）、镜像签名与验证。
- 合规与审计：CloudTrail 日志、GuardDuty for EKS、Security Hub 集成、CIS/NIST 合规检查。
技能还提供关键安全控制的具体实现示例，包括 IRSA 服务账户注解、Pod 安全标准命名空间标签、默认拒绝网络策略、ExternalSecret 资源、Amazon Inspector 增强扫描配置命令，以及运行时安全工具说明。
使用方式
技能以检查清单和工作流形式组织。快速上手清单按 Day 0（集群级、节点级）、Day 1（工作负载级、网络级、密钥管理、镜像安全）、Day 2-3（合规与监控）分阶段列出待办项。安全工作流分为六个阶段：基础（控制平面）、工作负载加固、密钥与数据保护、网络安全、运行时安全、合规与审计。每个阶段列出具体步骤，并指向对应的参考文档（references/cluster-security.md、references/workload-security.md、references/secrets-management.md）。
技能还提供三种安全模式：零信任集群（最大安全）、纵深防御生产集群、多租户集群，分别说明配置要点与适用场景。合规部分涵盖 CIS Kubernetes Benchmark（使用 kube-bench）、NIST 800-190、SOC2/HIPAA/PCI-DSS 的常见要求。事件响应部分列出检测来源、响应流程（识别、遏制、根除、恢复、复盘）以及受损 Pod 的隔离与取证命令示例。
适用场景
- 为新的 EKS 集群进行生产环境加固
- 实施安全控制与策略
- 配置 RBAC 与 IAM 访问
- 设置密钥管理
- 准备合规审计（CIS、NIST、SOC2）
- 响应安全事件
- 扫描与修复漏洞
- 实施零信任网络
- 设置运行时安全监控
限制
资料未提供该技能的收费、价格、平台支持范围、具体效果数据或使用步骤的完整细节。部分内容（如 Terraform 模块示例）在资料中未完整给出。所有配置示例和命令应结合官方文档与实际环境验证后使用。