用途：OCI 缺少类似 AWS Well-Architected Review 的评审机制，本清单作为生产上线前的门禁，验证环境是否达到生产级安全、韧性与运维标准。所有检查项均可通过 CLI 或 Python SDK 验证，只做通过/失败判定，不做主观评估。
主要能力：
- 隔间隔离审计：确认生产工作负载不在根隔间，策略遵循最小权限。
- 备份策略验证：检查每个启动卷与块卷是否绑定备份策略（最低 Bronze：每周备份、保留 5 周）。
- 安全列表与 NSG 审计：除 80/443 外不允许 0.0.0.0/0 入站。
- API 密钥轮换检查：密钥不应超过 90 天。
- 启动卷加密：须使用 OCI Vault 客户托管密钥，而非 Oracle 托管默认加密。
- OS Management Agent 验证：OS Management Service Agent、Vulnerability Scanning、Run Command 插件需为 RUNNING。
- Cloud Guard 状态：目标为 ACTIVE，无 CRITICAL 或 HIGH 风险问题。
- 漏洞扫描：所有计算实例分配扫描配方，无 CRITICAL 漏洞。
使用方式：需已安装并配置 OCI CLI（已验证 ~/.oci/config）、Python 3.8+ 并安装 OCI SDK（pip install oci）、具备管理员级 IAM 策略（需 inspect 与 read）、目标隔间 OCID，且租户级已启用 Cloud Guard。按步骤执行各 CLI 命令或 Python 脚本，输出 8 点通过/失败清单、失败项修复命令，以及生产部署的 go/no-go 结论。
适用场景：准备将 OCI 环境投入生产前，或对现有 OCI 环境做上线前合规与安全自检。
限制：需要相应权限，否则报 NotAuthorizedOrNotFound；密钥过期会报 NotAuthenticated；Cloud Guard 未在租户级启用则无法检查；批量扫描可能触发 429 限流（建议每次调用间隔 1 秒）；Vulnerability Scanning 未在区域或隔间启用时不可用；服务端错误可 60 秒后重试。通过后可参考 oraclecloud-observability 与 oraclecloud-incident-runbook 做后续监控与应急准备。