用途：编码2026年云基础设施架构的最佳实践，覆盖组织结构、身份、网络、计算选型、数据放置、成本与弹性。适用于设计、构建或审计AWS、GCP、Azure云环境。
与同类技能的边界：CI/CD流水线、IaC扫描、Terraform状态安全、GitOps归sota-devsecops；容器/运行时加固归sota-sandboxing；监控告警、SLO、链路追踪归sota-observability；数据库引擎选型、模式与查询设计归sota-databases；密钥存储与轮换归sota-secrets-management。本技能负责：存在哪些账户/网络/身份/计算/存储，它们如何连接、成本多少、如何从故障中存活。
BUILD模式：设计或扩展云基础设施时使用。先建立上下文：云厂商、组织成熟度、环境数量、数据敏感度、RTO/RPO目标、月度支出量级、团队规模。写配置前先读对应规则文件；账户结构优先于一切，计算选型先于网络细节。默认选择无聊、托管、受限选项：托管优于自建、私有优于公网、多可用区优于单可用区、IAM与网络策略默认拒绝；每次放宽需在注释中写明理由。每个资源须带所有者、环境、成本分摊标签及删除/生命周期说明。说明所提方案的成本与故障模式。以IaC产出，而非控制台点击，仅一次性组织引导步骤可例外并须注明。
AUDIT模式：审查现有云环境、Terraform仓库或架构文档。流程：清点现状；逐条走对应规则文件末尾的审计清单；按格式报告。报告前先确认可利用性与真实性，读实际策略JSON或Terraform，不靠资源名推断。严重度按可达性（匿名>外部认证>租户>内部）乘影响（数据/身份受损>可用性>成本）判定。仅成本类问题最高为High，通常为Medium。发现格式包含严重度、标题、位置、证据、影响、修复；重复实例合并为一条并计数。
规则索引：rules/01组织账户治理、rules/02 IAM设计、rules/03网络、rules/04计算选型、rules/05数据存储、rules/06成本FinOps、rules/07弹性与容灾。跨领域任务需读多份文件。
十条不可妥协项：按账户/项目而非标签做爆炸半径隔离；人类不用长期凭证；工作负载处处使用工作负载身份或OIDC联邦；组织级阻断公开访问；三层网络默认拒绝；用满足需求的最简计算，K8s需书面理由并配requests/limits、PDB、拓扑分布；有意图的密钥加密，敏感数据用CMK且密钥策略≠数据策略；备份跨账户且不可变；成本是架构评审门禁；容灾须声明并测试。
操作说明：原则优先、厂商示例其次；涉及具体限制与价格应向当前文档核实；与该技能和合规框架冲突时，说明两者由操作者选择。