用途：kube-bench 依据 CIS Kubernetes Benchmark 检查 Kubernetes 集群部署是否安全，覆盖 API Server、controller manager、scheduler、etcd、kubelet、工作节点配置及集群级策略，每项检查输出 PASS、FAIL、WARN 或 INFO，并附 CIS 修复建议。检查由 YAML 配置驱动，支持 EKS、GKE、AKS、ACK、OpenShift、RKE、k3s 等发行版。
主要能力：可作为独立二进制、容器或 Kubernetes Job 运行（Job 需挂载宿主机文件系统以读取配置）；支持 --targets 指定 master、node、etcd、policies；可用 --benchmark 或 --version 固定基准；支持 --check 与 --skip 选择或跳过检查；输出文本、JSON、JUnit、ASFF，并可写入 PostgreSQL 做趋势跟踪。
使用方式：安装示例：KB_VERSION=0.10.7；curl -L -o kube-bench.tgz "https://github.com/aquasecurity/kube-bench/releases/download/v${KB_VERSION}/kube-bench_${KB_VERSION}_linux_amd64.tar.gz"；tar -xzf kube-bench.tgz；sudo mv kube-bench /usr/local/bin/；sudo cp -R cfg /etc/kube-bench/cfg。也可 go install github.com/aquasecurity/kube-bench@latest，或 docker run --rm --pid=host -v /etc:/etc:ro -v /var:/var:ro -t docker.io/aquasec/kube-bench:latest run --targets node。集群内运行：kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job.yaml，再用 kubectl logs -l app=kube-bench 查看结果。常用命令：sudo kube-bench；sudo kube-bench run --targets master,node,etcd,policies；sudo kube-bench run --benchmark cis-1.8；sudo kube-bench run --targets master --json --outputfile kube-bench-report.json。
适用场景：新集群安全基线、周期性合规审计、修复后复验、CI/CD 或持续监控集成、SOC 2/PCI DSS 证据准备。
限制：需具备节点 SSH 或创建 Job 的 kubectl 权限；需知道集群 Kubernetes 版本；自动检测可能不准，需手动指定基准；修复需按 CIS 建议修改控制平面清单与节点配置，并重新运行确认。资料未提供收费、价格或效果数据。