用途：依据 CIS CockroachDB Benchmark v1.0.0 Level 1 配置档，对自托管 CockroachDB 集群做合规审计，评估安装与补丁、系统加固与拓扑、日志与监控、用户访问与授权、数据保护、CockroachDB 设置六个域共 30 项控制，并生成含 PASS、FAIL、MANUAL REVIEW 的结构化报告，附 CIS Controls v7/v8 映射。仅适用于自托管部署；CockroachDB Cloud 集群应改用 auditing-cloud-cluster-security。
主要能力：支持两种审计深度——快速扫描（每项控制执行单行 shell/SQL 命令，返回通过或失败，适合周期检查、CI/CD 门禁、快速排查）与完整审计（按官方基准执行多步流程，适合合规取证与外部审计）。两者可组合：先快速扫描定位失败项，再对失败项做完整审计取证。
使用方式：需 SSH/shell 访问集群节点、SQL 访问（admin 或 VIEWACTIVITY）、systemd 服务文件与证书目录访问权限；工具包括 cockroach CLI、systemctl、openssl 及 ps、ls、cat、grep、swapon、ulimit 等 Unix 工具。开始前需确认审计深度、目标节点、服务账号（默认 cockroach）、证书目录（默认 /var/lib/cockroach/certs）、数据目录、日志目录及是否具备 Enterprise 许可。
限制：所有操作只读，不修改集群状态、系统配置或文件；SQL 仅用 SHOW 与 SELECT。唯一例外是控制项 4.2 检查密码哈希需 SET allow_unsafe_internals = true，属仅限授权运维在专用管理会话中执行的应急操作，须立即用 SET allow_unsafe_internals = false 复位。报告不记录密钥与密码。部分查询需 admin 或 VIEWACTIVITY 权限，权限不足会在报告中标注。权威基准见 https://github.com/cockroachlabs/CIS-benchmarks-crdb。