用途：审计基础设施配置是否符合 CIS Benchmarks、SOC 2、HIPAA、PCI-DSS、GDPR 等合规框架，使用策略即代码工具（OPA、Checkov、tfsec）生成合规报告、识别违规并产出修复计划，覆盖 Terraform、Kubernetes 和云厂商配置。
主要能力：用 checkov -d . 或 tfsec . 扫描 Terraform 误配置；扫描 Kubernetes 清单的安全问题（缺失资源限制、特权容器、缺失网络策略）；用 aws iam access-analyzer 等云原生工具校验 IAM 最小权限；检查静态与传输加密（S3 桶加密、数据库 TLS、EBS 卷加密）；审计日志配置（CloudTrail/Cloud Audit Logs 是否启用并发送至不可变存储）；生成将每项发现映射到对应控制项（如 CIS AWS 2.1.1）的合规报告；为每个违规产出 Terraform/YAML 修复补丁并按严重级别排序；配置 CI/CD 集成，使 Critical/High 违规阻断合并。
使用方式：先按行业与数据分级确定适用框架；安装 checkov、tfsec、opa 或 kube-bench，准备 IaC 文件并认证云 CLI 只读权限，安装 jq 解析 JSON 输出；随后执行扫描、生成报告与补丁，并接入流水线。输出包括 JSON/SARIF 扫描结果、含控制项映射与通过/失败状态的 Markdown 报告、修复补丁、自定义 OPA/Rego 策略文件及 CI/CD 步骤配置。
限制与错误处理：需已安装相应工具并具备云只读权限；扫描目录错误、HCL 语法错误、规则过宽导致误报、Rego 语法或输入数据错误、大型代码库超时等均可能发生，可分别通过指定路径、先运行 terraform validate、添加跳过注释或 .checkov.yml、用 opa eval 测试策略、使用 --compact 或增大超时解决。具体收费、平台支持范围等资料暂未提供。