用途：在自管或云托管的交付系统中加固 CI/CD 流水线，把安全做成可评审、可审计的系统流程，而非在构建上临时挂几个扫描器。核心是管理密钥、信任边界、证据与例外，防止高风险变更静默进入生产。
主要能力：按流水线阶段绘制安全门禁（静态分析、依赖与 SBOM、容器/制品扫描、动态检查、策略合规检查），并明确每个门禁是阻断、告警还是开单；梳理密钥、身份与凭据流向；制定例外与抑制策略（原因、负责人、复核日期）；规划证据留存与审计轨迹；定义安全门禁失败时的事件与回滚触发条件；加固 CI 服务器、runner 与部署端点，使用 RBAC 保护审批与生产部署；保护签名密钥与制品仓库。
使用方式：先读 SKILL.md，再按需加载 references/ 下的深入文件，避免默认全量加载。建议加载顺序为 world-class-engineering、cicd-pipeline-design，再加载本技能，并与 vibe-security-skill、deployment-release-engineering、observability-monitoring 配合。产出物包括按阶段的安全门禁图、密钥与凭据流、例外与抑制策略、证据留存与审计计划、门禁失败的事件与回滚触发条件。
密钥生命周期：以 Vault 为参考实现，AppRole 认证（role_id 写入部署配置，secret_id 运行时从 wrapping token 获取，TTL 5–15 分钟）；动态数据库凭据（每会话唯一账号，1 小时 TTL）；PKI 引擎签发短期 TLS 证书（≤24h）用于服务间 mTLS；轮换手册（静态密钥季度、签名密钥月度、泄露时即时）；应急吊销使用 vault lease revoke -prefix。
合规与运行时：将技术控制映射到 ISO 27001、PCI-DSS v4、SOC 2 等框架，持续收集证据（制品摘要、SBOM、签名部署记录、访问日志、扫描输出、审批人、带日期的豁免），保留至少 3 年或按框架要求。容器运行时除镜像扫描外，还应有准入控制（OPA/Gatekeeper 或 Kyverno）与运行时检测（如 Falco），并采用最小权限 Pod 规范。
限制：资料未提供具体价格、平台支持范围与效果数据；示例命令与配置需结合自身环境验证，不应直接复制。