用途：在已批准的 Kubernetes 环境中，对照基准驱动的加固预期进行配置审查，适用于漏洞分析与复测闭环阶段；当需要基于已知基线审查 Kubernetes 加固、获取节点或控制平面配置发现，或进行可重复的加固复测时使用。
主要能力：按目标运行 CIS Kubernetes 基准检查，可分别检查主节点/控制平面、工作节点和 etcd；可指定基准版本；可输出 JSON；可按检查项 ID 运行指定检查。
使用方式：确认集群角色与节点范围后，仅运行与已批准环境相关的检查，并保留确切的基准范围以便复测。命令示例： kube-bench kube-bench run --targets master kube-bench run --targets node kube-bench run --targets etcd kube-bench --benchmark cis-1.8 kube-bench --json > contoso-kube-bench.json kube-bench run --targets master --check 1.2.1
需记录的证据包括：与基准预期相关的实质性加固差距、审查时使用的集群角色与节点上下文、修复后的复测差异。
限制与安全边界：仅在已批准的集群或节点上下文内使用；集群角色或节点访问权限不明确时应避免使用；环境不允许基准式本地审查时也应避免。基准输出只应作为验证的起点，不能自动视为最终结论，应甄别实质性加固差距而非逐条比对所有基准差异，并将确认问题关联到现实影响。