用途：对 Amazon EKS 集群做分级运维审查，覆盖 9 大支柱、288 项核心检查，另含 49 个发现领域用于收集证据。也支持针对指定对象（命名空间、工作负载等）的定向审查，只对该对象及其所需的 AX 证据评分。
主要能力：确认集群、区域、账户、上下文、环境、命名空间范围与事件窗口后，先做访问与身份校验，再按顺序执行 49 个发现领域，汇集清单与遥测，路由范围与门控，逐个单元评分，最后经强制 QA 后输出报告。报告含 8 个固定章节：执行摘要、集群快照、按严重度排序的行动计划、详细发现、评分卡、建议告警、未评估项、附录。所有结论都需有观测证据，证据缺失或不全记 N/A 并注明原因。
使用方式：通过 AWS DevOps Agent MCP 工具 use_kubectl 执行 get、describe、logs、version、config current-context、cluster-info、top、get --raw 等只读命令，每次工具调用一条命令；客户账户的 AWS 读取使用经审计的只读 DevOps Agent 访问，不使用本地 AWS CLI/boto3 凭据。运行时不创建或存储运行期文件，仅保留对话内的临时台账，输出全部在最终回复中呈现。修复建议仅作为提案，供人工批准，绝不执行变更。
适用场景：主动式集群健康评估、合规与最佳实践审计、迁移或升级前评估、命名空间或工作负载的定向评分。Windows、混合、AI/ML、GPU/Neuron、升级与扩展支持等条件模块仅在对应门控触发时加载。
限制：完整审查较重，耗时随集群规模、API 响应、权限和遥测可用性变化，不宜用于事故期间的快速健康检查。EKS 控制平面主机与 etcd 由 AWS 托管，只能借助客户可见的 API、日志、指标和 Kubernetes 行为评估。不获取 Kubernetes Secret 值，需脱敏凭据、令牌与敏感日志。若 Kubernetes 工具不可用、身份与目标不符、初始访问失败、某发现阶段失败超过 30%，或发生变更尝试，则停止并报告。遥测或 AWS 读取失败时相关行记 N/A。具体分类计数与 ID 归属需在每次运行时读取对应清单文件确认。