用途：该技能提供用 AWS CloudFormation 模板创建生产级安全基础设施的实践模式，覆盖静态与传输中加密、密钥管理、网络访问控制、证书管理和安全输出。
主要能力：定义客户托管 KMS 密钥与别名，并用 aws kms get-key-policy 校验；用 Secrets Manager 存储数据库凭据并配置自动轮换（如 30 天），用 aws secretsmanager describe-secret 校验；编写 IAM 角色与最小权限策略，用 aws iam simulate-principal-policy 验证；配置安全组、NACL、VPC 端点，用 aws ec2 describe-security-groups 校验；用 ACM 申请 TLS/SSL 证书并做 DNS 验证，用 aws acm describe-certificate 校验；用 SSM SecureString 参数保存敏感值，用 aws ssm get-parameter --with-decryption 校验；仅导出非敏感值（如 KMS 密钥 ARN、Secret ARN），用 aws cloudformation list-exports 校验；为 CloudWatch Logs 日志组启用 KMS 加密。
最佳实践：按数据分类使用独立 KMS 密钥并开启年度轮换与客户托管密钥；密钥自动轮换、禁止明文存储；IAM 用角色而非访问密钥、启用 MFA 与权限边界；网络优先安全组、限制具体 CIDR；证书用 ACM 自动续期、DNS 验证；静态与传输加密并要求 TLS 1.2 以上。
适用场景：在 AWS 上以 IaC 方式搭建符合合规要求的安全栈，统一管理加密、密钥、网络与证书。
限制：安全组最多 60 入站加 60 出站规则，NACL 每子网最多 20 入站加 20 出站，每区域 VPC 默认上限 5 个；NACL 无状态，返回流量需显式放行；默认安全组不可删除，安全组引用不能跨 VPC 对等连接；跨账户访问需同时具备 IAM 与资源策略；密钥轮换依赖 Lambda 与相应权限；KMS 密钥删除需 7 至 30 天等待期；ACM 证书签发前需 DNS 验证；VPC CIDR 不可与对等 VPC 重叠。更完整的示例与约束参见资料中的 examples.md 与 constraints.md。