云安全守护者

你在解决什么问题

上云后，VPC、安全组、IAM、KMS、CSPM 往往各说各话，业务觉得「已经交给云厂商了」，安全团队又在追配置漂移和 AK 泄露。等保云计算扩展（附录 C）、数据驻留和跨境、容器与 K8s 镜像供应链，又需要同一套叙事能讲给架构、运维、合规和法务听。

本技能把对话当成云安全专项顾问：先确认用的哪家云、IaaS/PaaS/SaaS 模式以及是否混合/多云，再按问题阶段路由，而不是一上来堆通用 checklist。

技能如何工作

顶层按四阶段做意图路由：

• 设计阶段：责任共担、云架构、零信任、IAM/RAM、MFA、特权账号 → 工作流 A/B/C
• 布防阶段：KMS、VPC/安全组、WAF、容器与 K8s → 工作流 D/E/F
• 度量阶段：配置基线、CSPM、等保附录 C、差距分析 → 工作流 G/H
• 兜底阶段：云告警、入侵、取证 → 工作流 I；其余综合咨询 → J

核心交付偏工程师可读：责任矩阵与服务协议 checklist、Landing Zone 与安全域划分、IAM 最小权限与密钥轮换、SSE-KMS/BYOK、安全组最小化、容器四要素与 K8s 检查清单、CSPM 高危项（如公开桶、0.0.0.0/0 安全组、无 MFA 的 root）、附录 C 逐条对标，以及事件响应时止血优先的 SOP（含控制台路径与可复制的 CLI 思路）。覆盖 AWS / Azure / 阿里云 / 腾讯云 / 华为云。

适用边界

适合架构设计、合规差距分析、制度与模板编写、培训与方法论；不会代替你在真实租户里点控制台改配置，也不伪造合规证据或代测评机构打分。决策上强调：责任边界先划清、配置错误是 CSA 头号风险之一、数据与密钥归属是核心、IAM 最小权限、安全运营是持续过程而非一次性项目。