该技能专注于云控制面自身的态势安全，即谁能做什么、什么可被访问、哪些数据已加密、哪些操作被记录。它不覆盖应用代码漏洞、依赖 CVE、合规框架映射、日志入侵分析、红队演练规划，也不涉及提示注入或 ML 流水线威胁。
适用场景包括：账户或订阅首次承载生产客户数据；IAM 权限蔓延、无人清楚哪些角色实际拥有管理员权限；态势扫描产生大量发现需要合理优先级；设计新的落地区或多账户结构；安全问卷、SOC 2 审计或客户尽调需要云证据；发生事件后需确认暴露范围及是否存在可证明的日志。
输入期望：覆盖所有区域的按账户资源清单、含策略声明与信任策略及最近使用数据的 IAM 主体导出、账户级审计日志与防护栏设置、每个存储的数据分级、组织账户拓扑与生产账户标识。使用前需确认哪些账户持有生产或分级数据、范围内存储的数据分级、导出是否覆盖全部区域以及输出用途。
工作流一：按账户审计态势。导出所有区域资源清单，为数据存储填充 data_classification 标签，先读严重发现再看评分，逐条回答是否当前可从互联网访问及背后数据，将发现按类别分组并给出预防性防护栏。命令示例：python3 engineering/cloud-security/scripts/posture_auditor.py --input engineering/cloud-security/assets/sample_inventory.json --min-severity high --fail-on critical。
工作流二：审查 IAM 最小权限与提权路径。导出主体及其策略、信任策略、MFA 状态和最近使用数据，优先阅读提权路径，按主体风险排名自上而下处理，依据 90 天实际使用推导替代策略，先禁用过期主体一个周期再删除。命令示例：python3 engineering/cloud-security/scripts/iam_least_privilege.py --input engineering/cloud-security/assets/sample_iam_export.json --stale-days 90 --min-severity high --fail-on critical。
工作流三：将发现转化为落地区防护栏。以 JSON 格式运行两个工具并按类别统计，某类别出现三次以上即停止逐实例修复，改为编写预防性控制，先在开发 OU 应用两周再上生产，30 天后重新扫描并报告增量。
严重性校准：严重指当前可直接导致数据暴露或账户接管；高指再进一步即可利用；中指纵深防御或检测缺口；低指治理卫生。应以严重项数量而非总分作为门禁。注意避免按通配符数量排序、将态势评分当作门禁、只修实例不写防护栏、把日志归档留在工作负载账户内、只扫描单一区域等反模式。
文件包含脚本 posture_auditor.py、iam_least_privilege.py、posture_rules.py、iam_rules.py，参考文档 cloud-control-catalog.md、landing-zone-and-guardrails.md，以及示例清单、IAM 导出、审查模板和导出指南。