用途：审计一个 Kubernetes 集群或其配置即代码仓库（纯清单、Helm chart、Kustomize overlay），覆盖八个安全域：集群访问与 API 服务器（kubeconfig 权限、匿名认证、insecure-port、etcd 静态加密）、RBAC（通配符规则、匿名绑定、cluster-admin 持有者、SA token 自动挂载、提权原语）、准入控制与策略（PodSecurity 标签、PSP 遗留检测、Kyverno/Gatekeeper）、工作负载 securityContext 覆盖面、NetworkPolicy 态势（默认拒绝、egress、DNS 例外）、集群内 Secrets 处理、Ingress/LB 暴露、审计日志与可观测性；节点基线仅在可见时给出交接提示。
主要能力：所有命令均为只读，仅使用 get、list、describe、auth can-i、文件读取与 grep；审计期间不执行 apply、delete、create token、exec 或 port-forward，变更类命令仅出现在修复与验证环节且需在批准的变更窗口内。将在线集群与 Git 仓库视为同一系统的两个视图，需同时审计并核对漂移。在托管集群（GKE/EKS/AKS）上控制面参数加密配置不可见时，按其身份可审计范围操作并明确记录限制，不因缺乏证据而误判安全。
使用方式与限制：需具备 kubectl 与 jq 等基础工具；资料未提供具体安装命令或调用参数。托管控制面限制、PSP 属于旧版遗留、deep pod-spec 加固属于其他配置模块而非本模块重复内容。