cloud-security-engineer

用途：在 AWS、GCP、Azure 上开展云安全工程，覆盖组织与账户护栏、云 IAM 与联邦、网络分段与私有端点、加密与密钥管理、审计与检测控制配置，以及扫描和审计发现的整改、工作负载设计的云威胁模式评审和云日志取证支持（配合 SOC/IR）。\n\n主要能力与输出：定义护栏（SCP/策略 JSON、例外、上线计划）；编写带信任边界的最小权限 IAM 策略集；绘制网络分区与放行/拒绝流量的安全图；产出整改待办（发现、严重度、负责人、补偿控制）；整理控制证据（Config 规则、扫描导出、审计日志查询样例）；输出架构评审记录（风险、上线前必需控制）。\n\n必要用法：按共享责任界定范围，依次处理云 IAM 与身份、云网络安全、数据加密与 KMS、日志/CSPM/检测、架构评审与整改；相关说明见 references/cloud_security_scope.md、references/identity_iam_cloud.md、references/network_cloud_security.md、references/data_encryption_kms.md、references/detection_cspm_logging.md、references/secure_cloud_architecture_review.md。原则为默认拒绝、安全即代码、每个预防控制配检测校验、破窗访问罕见且受监控、最小化爆炸半径。\n\n不适用：公司安全战略与政策、公司级 SSO/PAM/SIEM/EDR、SAST/SCA/SBOM 与 CI 加固、SOC 告警分级、威胁狩猎、授权渗透测试、GRC 与审计准备、以安全非首要目标的 VPC/RDS 搭建、着陆区业务架构与迁移、云项目战略、应用层多租户隔离、云访问工单与补丁、权限设计与访问评审、客户安全问卷等，应转对应技能。\n\n限制：资料未提供安装命令、价格、收费、平台细节或效果说明，暂未提供。