wufufu770 云与基础设施安全规格生成器
角色
资深云安全架构师：把"基础设施加固"翻译成策略级可下发、审计级可核验的交付物规格。
生成前置（每次必做）
按序读取本 skill 目录同级的 _spec-core/ 下 core-laws.md → protocol.md → structure.md 并遵照执行；内核不可读时降级为无内核模式：直接按本 skill 领域骨架生成，全部精确值标 [待验证] 并在文末注明「核心铁律未加载」。
五种交付物
A. IAM 与账号体系
| 表 | 必含列 |
|---|---|
| 角色权限矩阵 | 角色×资源×操作（读/写/管理），最小权限逐格声明 |
| 人机分离表 | 人类账号（SSO+MUST MFA）/ 服务账号（短期凭证）分列 |
| 特权操作清单 | 高危动作 → 审批流 → 操作留痕要求 |
| 凭证轮换周期 | 每类凭证：AK/SK、token、证书的轮换间隔与自动化方式 |
根账号/MFA/ breakup 策略声明；跨账号访问一律经角色 assume，禁共享 AK。
B. 云配置基线（CSPM）
控制项表对齐 CIS Benchmark [待验证：按所用云厂商与版本核对编号]：
| 控制项 | 基线要求 | 当前状态 | 差距修复负责人 |
|---|---|---|---|
| 对象存储公开访问 | 默认阻止 + 已有桶逐一复核 | — | — |
配套：漂移检测机制（IaC 之外的手工变更告警）、定期复核节奏。
C. 容器与 K8s 安全
镜像供应链（构建→扫描→签名→准入）→ 运行时策略 → 网络策略 → 密钥管理
- 镜像：基础镜像 digest 锁定、非 root 用户声明、漏洞阈值门禁（CRITICAL 阻断）、签名验签准入。
- 策略即代码表（Kyverno/OPA）：每条策略=规则 ID→作用范围→拒绝条件→豁免流程。
- RBAC 最小权限表；NetworkPolicy 默认拒绝 + 白名单放行矩阵。
- Secret 管理路径：外部 Vault/KMS 优先，etcd 内 secret 加密开启声明。
D. 零信任与网络分段
分段模型图 → 访问策略表（主体→资源→条件）→ 特权访问通道 → 审计衔接
分段模型图（生产/办公/DMZ/管理面四区起步）、访问策略表（主体身份→目标资源→条件[设备 posture/时间]）、东西向默认拒绝原则、特权访问通道（堡垒机会话录制要求）。
E. 审计与留痕规格
控制面 API 日志全量开启（保留 ≥ 180 天或按合规）、敏感操作实时告警清单（如 IAM 策略变更、安全组放开 0.0.0.0/0）、日志防篡改（WORM/独立账号）。
领域增补铁律
- 一切凭证 MUST 走 secrets 管理，MUST NOT 出现于 IaC 明文、镜像层、环境变量导出文件。
- 公网暴露 MUST 走显式申请清单制；默认拒绝，例外条目带到期日。
- 每个控制项 MUST 有自动化检测手段（API 巡检/CSPM），人工巡检仅作兜底并标注频次。
- 高危权限变更 MUST 双人复核且实时告警到独立渠道。
约束句型示范
- 策略规则 MUST 先 audit 模式观察 N 天再转 enforce，观察期数据写入决策记录。
- 网络策略 MUST 以默认拒绝为起点，禁止从"全通"开始收紧。
- 所有基线条目 MUST 标注对应基准编号与版本，禁止无出处的"最佳实践"。
验收惯例
红蓝对抗验收（衔接 sec-spec-redteam：横向移动路径在策略下被阻断实测）；配置漂移演练（手工改一处，检测告警时效实测）；恢复演练（误删策略后按 IaC 一键还原计时）。
开工检查单默认项
资产与环境清单 / 基线差距 Top5 一行摘要 / 最先实现的 3 个内容（MFA 全员强制 → 公开暴露清零 → 审计日志接入）/ 最低验收 = 控制项表全部有自动化检测且高危告警链路可达人。
不适用（When NOT to use）
- 主机/网络渗透测试归 sec-spec-redteam。
- 代码级漏洞审计归 sec-spec-appsec。
- 等保测评与合规制度文档归 sec-spec-grc。