用途：kube-bench 是 Aqua Security 开发的开源 Go 工具，用于执行 CIS Kubernetes Benchmark 检查，验证控制平面、etcd、工作节点与策略配置是否符合安全最佳实践，输出可操作的 pass/fail/warn 报告。本技能帮助把原始输出整理为完整审计结论。
主要能力：覆盖控制平面 API Server（匿名认证、RBAC、审计日志、准入控制器、加密）、Controller Manager、Scheduler、etcd（客户端证书认证、对等加密）、认证（OIDC、客户端证书）、kubelet（匿名认证、授权、TLS、只读端口）以及策略（RBAC、Pod 安全、网络策略、Secrets 与安全上下文）。支持按组件、检查项或检查组筛选，支持 JSON 与 JUnit 输出，并提供 EKS、GKE、AKS、OpenShift 等托管发行版基准。
使用方式：二进制安装可执行 curl -L https://github.com/aquasecurity/kube-bench/releases/download/v0.7.3/kube-bench_0.7.3_linux_amd64.tar.gz | tar xz 后 sudo mv kube-bench /usr/local/bin/；也可 kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job.yaml 并以 kubectl logs job/kube-bench 查看。常用命令包括 kube-bench run、kube-bench run --json、kube-bench run --junit、kube-bench run --targets master,node,etcd,policies、kube-bench run --check 1.2.1、kube-bench run --group 1.2，以及 kube-bench run --benchmark eks-1.2.0 等。
适用场景：安全评估、事件响应、定期安全测试与审计、安全控制验证，以及通过 GitHub Actions 等 CI/CD 定时扫描并上传报告。
限制：需要 Kubernetes v1.24+、具备 cluster-admin 权限的 kubectl，以及节点访问或特权 Pod 权限；部分检查在托管集群中可能不适用，需选择匹配发行版的基准；资料未提供具体收费、价格或效果数据。