用途：评估 CockroachDB Cloud 或自托管集群的安全配置，检查网络访问控制、认证与 SSO、用户授权、加密、审计日志和备份状态，生成带修复链接的 PASS/WARN/FAIL 报告。适用于合规审查（如 SOC 2、HIPAA）准备、周期性安全评估、新生产集群基线校验、事件后排查及发布前审查。
主要能力：按维度检查网络（IP 允许列表、私有端点、HBA）、认证与 SSO（Cloud Console SSO、数据库 SSO、SCIM 2.0、自动用户预配）、授权（用户、角色、admin 授权、PUBLIC 权限）、加密（CMEK、TLS、企业加密）、审计日志、备份与恢复，以及 TLS 版本、PQC 混合密码和密钥长度等密码学态势。不适用于当前部署模式的检查标记为 N/A。
使用方式：需 ccloud CLI（Cloud）、cockroach sql（两者）、openssl v3+ 与 sslyze（可选）。先验证工具与凭据，再采集集群元数据并确认审计上下文（部署模式、环境、合规框架、数据敏感度），随后逐项执行只读检查。示例命令：ccloud auth whoami；ccloud cluster list -o json；cockroach sql --url "<connection-string>" -e "SELECT current_user();"；openssl version；which sslyze && sslyze --version。
限制：所有操作只读，不修改集群状态。缺少 cockroach sql 时审计严重受限；缺少可选工具会降低部分检查完整性。SHOW GRANTS FOR public 仅作用于当前数据库，需逐库执行。openssl 与 sslyze 需使用 -starttls postgres / --starttls postgres 才能正确协商 TLS。严重级别按环境调整，合规要求可覆盖降级。具体权限要求、修复步骤与完整判定标准以资料为准，部分细节暂未提供。