用途：为 Amazon EKS 提供端到端的安全与合规指导，结构为 7 层安全栈加合规制度横切视角。技能强调发现驱动：加固方案取决于合规制度、操作系统标准化要求、团队技能、审计时间线、工作负载敏感度、气隙要求、规模与运维开销容忍度，跳过发现提问会导致约一半的建议出错。
主要能力：按自下而上分层给出控制项。第 1 层计算/OS/AMI 节点加固，默认 Bottlerocket，或用 Image Builder 构建 CIS 加固的 AL2023，并尊重 Ubuntu Pro/RHEL 等厂商 OS 要求；第 2 层身份与访问，推荐 EKS Pod Identity 与 EKS Access Entries；第 3 层工作负载安全，PSA restricted、Kyverno 或 OPA、VPC CNI NetworkPolicy 默认拒绝、Security Groups for Pods；第 4 层镜像供应链，ECR Enhanced Scanning、Cosign/Notation 签名与准入校验；第 5 层运行时安全，GuardDuty for EKS 与 Falco；第 6 层审计日志与取证，控制面日志、CloudTrail、VPC Flow Logs、SIEM 转发；第 7 层合规加速器，Config conformance packs、Security Hub、Artifact，Audit Manager 仅限既有环境（维护模式）。横切主题包括加密与密钥管理、多租户与多账号隔离、事件响应与取证、共享责任模型。
使用方式：先回答必需发现问题（合规制度、工作负载敏感度、OS/AMI 策略、审计时间线、集群拓扑、团队技能、运维开销容忍度、现有安全工具基线），再按 30/60/90 天路线图推进；绿地集群应在创建时部署完整 7 层栈，并先确定 Day 0 设置（认证模式、信封加密 CMK、集群名/VPC、Kubernetes 版本、端点访问、控制面日志）。
适用场景：EKS 集群加固、首次合规审计准备（HIPAA、PCI-DSS、FedRAMP、SOC 2、ISO 27001、GDPR、HITRUST、NIST 800-53/171）、OS/AMI 安全选型、身份访问决策、工作负载与镜像供应链安全、运行时检测与审计日志、合规加速器接入。
限制：不适用于非 EKS 容器平台（ECS、ROSA）、无 EKS 角度的账号级安全、GenAI/GPU 工作负载安全、无安全驱动的通用架构决策，也不用于生成 Terraform/Helm 或审计在线集群运维态势。合规状态随时间变化，引用项目覆盖前须核对 AWS Services in Scope 页面；无法引证 AWS 公开来源时不得断言加密模块状态、FedRAMP 边界或认证。EKS 为 HIPAA-eligible（需签署 BAA），FedRAMP High 仅 GovCloud，Moderate 为商业区域。Auto Mode 不支持自定义 AMI 与 Cilium CNI，且不意味着安全已托管。