用途：为 Amazon ECS 提供端到端的安全与合规指导，按 7 层安全栈加合规制度横切视角组织。该技能强调先做发现（discovery），因为加固方案取决于启动类型、合规制度、工作负载敏感度、审计时间线、团队技能、网络拓扑与运维开销容忍度；其中启动类型（Fargate / EC2 / Managed Instances / ECS Anywhere）是最关键的 ECS 特有变量，会改变责任共担边界与可用控制项。
主要能力：解决“ECS was unable to assume the role”类信任配置错误；区分任务角色、任务执行角色、容器实例角色与基础设施角色并做最小权限；为任务角色信任策略添加 aws:SourceArn / aws:SourceAccount 混淆代理防护并收敛 iam:PassRole；从 Secrets Manager / SSM Parameter Store 注入密钥；容器加固（readonlyRootFilesystem、非 root 用户、privileged: false、丢弃 Linux 能力、distroless 镜像）；网络隔离（awsvpc、每服务安全组、私有子网、VPC 端点）；运行时检测（GuardDuty ECS Runtime Monitoring 与 Extended Threat Detection）与镜像供应链控制（ECR 增强扫描、AWS Signer + Notation 签名）；为 PCI-DSS / HIPAA / FedRAMP / SOC 2 / ISO 审计做准备，或启用 Fargate FIPS。
使用方式：先回答启动类型、合规制度、工作负载敏感度、审计时间线等必答问题，再自下而上逐层给出控制项；每层均有对应参考文档（如 shared-responsibility.md、identity-and-access.md、task-container-hardening.md 等）。
适用场景：ECS 安全加固、合规审计准备、角色与权限排错、密钥与网络隔离设计。
限制：不适用于 EKS/Kubernetes 容器安全、GenAI/GPU 工作负载安全、App Runner/Lambda/Batch，以及无 ECS 角度的账户级安全；合规状态会随时间变化，引用前须核对 AWS 实时在范围服务页面；Fargate FIPS 140-3 仅限 GovCloud (US)、LINUX + X86_64 + 平台版本 1.4.0+ 且默认关闭；GuardDuty ECS Runtime Monitoring 不支持 Managed Instances、Windows 与 ECS Anywhere，且不追溯覆盖已运行任务；readonlyRootFilesystem 与 ECS Exec 不兼容。资料未提供具体价格信息。