用途：对容器编排层做安全审计，位于 cloud-audit（云 IAM）与 dependency-audit（应用依赖 CVE）之间，覆盖 Dockerfile、基础镜像、Helm chart、Kustomize overlay、K8s manifest 及产出镜像的 CI 流水线。
主要能力：先界定审计范围（运行时类型、网络模型、密钥模型）。Dockerfile 检查基础镜像按 digest 固定、多阶段构建、--build-arg 泄密、COPY 上下文、ADD 下载、非 root、SUID、HEALTHCHECK。K8s 清单检查 securityContext（runAsNonRoot、allowPrivilegeEscalation、readOnlyRootFilesystem、capabilities.drop、privileged）、hostNetwork/hostPID/hostPath、Pod Security Standards 与准入控制、NetworkPolicy 默认拒绝、Service Mesh mTLS、Secret 与 etcd 加密、RBAC 通配符、资源 limits/quota、镜像策略与签名。运行时检查 CI 扫描、Falco 等检测、审计日志与 exec 追踪。
使用方式：用 grep 与 trivy 等命令排查，如 trivy image --severity HIGH,CRITICAL --exit-code 0 <image>、trivy config --severity HIGH,CRITICAL .、kube-bench run --targets master,node,policies，并可用一行命令查找缺 securityContext、privileged、hostPath、Kind: Secret 的清单。产出固定格式报告，含摘要、发现表、逐项详情与修复验证。
限制：仅审计用户提供或已获授权的集群与仓库；审计期间只做只读操作（get、describe、auth can-i），不得删除或修改集群状态；拒绝集群接管类利用；低置信度标为 Potential。不同运行时与密钥方案细节未在资料中逐项展开。