資安
審查 Kubernetes 工作負載與叢集的安全態勢
找出工作負載、身分、網路、密鑰、映像與控制平面的風險設定，並以已測試的變更修復。
流程
照這個順序做。
- 取得授權並盤點叢集、命名空間、工作負載、資料敏感度、租戶、暴露、負責人、版本與託管服務邊界。
- 以唯讀方式蒐集 RBAC、服務帳戶、准入控制、API 存取、稽核日誌、網路政策、密鑰、映像庫、節點與備份實務的清單與設定。
- 審查映像與供應鏈控制：可信映像庫、不可變參照、弱點處理、來源證明、最小內容與更新節奏。
- 評估工作負載安全脈絡：特權、主機存取、能力、使用者識別、檔案系統、資源上限，以及系統呼叫限制或其他核心控制。
- 依 NIST 與 Kubernetes 指引，評估叢集與命名空間隔離、最小權限、密鑰保護、外部暴露、政策執行、控制平面安全與日誌。
- 依利用路徑與工作負載影響排序發現，再分階段套用已核准的清單或平台變更，並含回復與服務負責人驗證。
- 重測修復、驗證應用健康，並加入政策即程式或持續檢查以防復發。
先準備
貓會向你要的輸入。
- 叢集與命名空間範圍
- 唯讀 Kubernetes 與雲端存取
- 工作負載負責人與資料分類
- 部署儲存庫與維護限制
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-kubernetes-cis-benchmark-with-kube-bench/SKILL.mdskills/cybersecurity-skills/auditing-kubernetes-cluster-rbac/SKILL.mdskills/cybersecurity-skills/scanning-kubernetes-manifests-with-kubesec/SKILL.md
界線
界線跟著提示一起走。
- 先做唯讀探索，未經核准變更範圍絕不套用清單或執行容器。
- 不要擷取密鑰值；改檢查中繼資料與保護控制。
- 在預備環境或有限波次測試准入、RBAC 與網路政策變更，並準備回復。
完成代表
一個可核對的終點。
範圍內各檢查項都有證據與處置，關鍵修復已驗證且無服務退化，持續政策檢查涵蓋約定的高風險設定。
來源
這個流程從哪來。
- csrc.nist.gov/pubs/sp/800/190/final
- kubernetes.io/docs/concepts/security/security-checklist/
- kubernetes.io/docs/concepts/security/application-security-checklist/
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
