用途：当 to-be-architecture.md 将计算平台指定为 ECS Fargate 或 EKS 时，把既有 JAR/WAR/Node.js/Python 应用构建为 Docker 镜像；也用于重构缺少 multi-stage、multi-arch、non-root 的现有 Dockerfile，以及在推送到 ECR 后生成 ECS Task Definition 或 Kubernetes Deployment 清单草稿。不适用于仅 Rehost 到 EC2、纯 Lambda 打包路径，或已上线仅需 CVE 修补的场景。
前提：存在 .omao/plans/modernization/to-be-architecture.md 且 compute 字段已确定；risk-discovery 通过；Docker 24+ 与 buildx 插件；AWS CLI 及 ECR 推送权限；Trivy v0.48+ 或 grype。
主要能力：按语言（Node.js 20、Python 3.11、Java 21、Go 1.22）给出 builder 与 runtime 最小基础镜像，采用 distroless 与 non-root；用 docker buildx build --platform linux/amd64,linux/arm64 构建推送；push 前并行运行 trivy image --severity HIGH,CRITICAL --exit-code 1 与 grype --fail-on high 作为门禁；配置 ECR 生命周期策略清理未打标签镜像；输出 ECS 任务定义或 EKS Deployment/Service 模板，包含探针与 securityContext；结果写入 containerization-report.md，后续衔接 cutover-planning。
限制：禁止使用 latest 标签、缺 USER 指令、缺少健康检查、跳过 multi-arch 或忽略 Trivy HIGH 而不记录依据。具体版本、价格与效果须以实际资料为准，暂未提供更多信息。