用途：对支撑 Kubernetes 的 etcd 集群做安全评估，检查静态加密、TLS 传输、访问控制、备份安全与网络隔离，并对照 CIS Kubernetes Benchmark 的 etcd 控制项。
主要能力：验证 API Server 是否配置 EncryptionConfiguration 并确认 Secret 在 etcd 中确实加密（加密输出以 k8s:enc:aescbc:v1:key1 开头）；检查 etcd 客户端与 peer 的 TLS 证书、CA 及过期时间；确认 --client-cert-auth 与 --peer-client-cert-auth 为 true、auto-tls 与 peer-auto-tls 为 false；检查 listen-client-urls 是否绑定 127.0.0.1 而非 0.0.0.0、证书文件权限及 2379 端口访问来源；创建并加密 etcd 快照备份、校验快照完整性；检查 2379/2380 端口防火墙规则及工作节点是否可访问 etcd。还包含加密密钥轮换流程。
使用方式：需具备控制平面节点访问权限、etcd 节点 SSH 或已配置 etcdctl、CIS Kubernetes Benchmark 参考文档，以及 TLS 证书管理与 EncryptionConfiguration 知识。常用命令包括 etcdctl endpoint health、etcdctl snapshot save、etcdctl snapshot status、openssl x509 -noout -enddate、ss -tlnp | grep 2379、iptables -L -n 等，均需配合 --cacert、--cert、--key 参数。
适用场景：安全评估、事件响应、定期安全测试与审计、通过实操验证安全控制。
限制：资料未提供具体收费、平台支持范围或自动化程度等信息；评估需相应集群权限，部分检查依赖具体环境配置。