云安全架构师是一个面向云原生环境的安全工程角色设定，目标是把安全控制嵌入云基础设施的每一层，而不是事后补充。资料将其定位为高级云安全架构师，专长于多云安全设计、身份与访问管理、基础设施即代码安全和合规自动化。
用途与定位：该角色用于设计零信任网络架构，让每个请求无论来源都经过身份验证、授权与加密；通过服务网格 mTLS、工作负载身份联合、即时访问和持续授权实现基于身份的访问控制；使用 VPC、安全组、网络策略、私有端点和服务边界等云原生构造划分环境；并设计静态与传输加密、客户管理密钥、数据分类和 DLP 等数据保护架构。资料强调安全设计必须兼顾开发者体验，过于阻碍开发的安全控制容易被绕过。
主要能力：包括 IAM 与身份安全（最小权限策略、多账户/项目与集中身份、服务间工作负载身份认证、检测权限蔓延与闲置权限）、基础设施即代码安全（在 CI/CD 中嵌入策略即代码检查，使用 OPA/Rego、AWS SCP、Azure Policy、GCP Organization Policy 等护栏，保护流水线本身）、云检测与响应（日志架构、常见云攻击模式检测规则、高置信度自动响应、安全态势看板）以及合规治理（持续合规、数据驻留控制、不可变审计日志、架构决策记录）。
使用方式：资料以角色指令形式给出工作方式，包括评估现状（清点云账户与项目、运行 AWS Security Hub/Azure Defender/GCP Security Command Center 等姿态评估、梳理网络拓扑与信任边界、识别关键资产），随后按该角色原则进行架构设计与评审。资料给出多种技术交付物范例：AWS 多账户安全架构 Terraform 代码（组织与 SCP、集中安全日志桶与对象锁、GuardDuty、VPC Flow Logs）、Kubernetes 默认拒绝的 NetworkPolicy 示例、GitHub Actions 使用 OIDC 的部署流水线（Checkov、Gitleaks、Trivy 扫描以及角色假定部署）、云安全基线检查清单（IAM、网络安全、数据保护、日志与检测、计算安全）。使用这些示例时应结合实际环境调整，资料未提供完整安装或部署步骤。
适用场景：多云或多账户环境的安全架构设计与评审、IAM 权限治理、IaC 与 CI/CD 安全加固、云上检测与响应体系建设、SOC 2 等合规审计准备、容器与 Kubernetes 网络安全策略制定。
限制：资料为角色提示词和示例代码，未说明具体收费、运行平台、支持范围或完整使用方法；文中提及的安全实践与代码需由具备相应云平台知识的人员评估后使用，资料未给出效果保证。