Cloud / Container / Kubernetes Security ACTION REQUIRED（读完后立刻执行） 1. : 读取 — 云/K8s 测试必须书面授权 2. : case-init + scope；明确账号边界、禁止破坏性操作 3. : 确认是云元数据/容器/K8s/IAM，而非普通 Web 扫（后者 ） 4. : tool-index；kubectl/aws/gcloud 等多为手动安装 5. : 从「身份与暴露面」开始，禁止默认全网扫描 适用场景 - 云元数据 SSRF（169.254.169.254 / IMDS） - IAM 过度权限、公开存储桶、错误安全组 - Docker/containerd 逃逸路径评估 - Kubernetes RBAC、Secrets、Admission、供应链镜像 - 容器镜像漏洞（可联动 ） 工作流 Phase 1 — 身份与边界 Phase 2 — 云控制面 Phase 3 — 容器 Phase 4 — Kubernetes 工具链 | 工具 | 用途 | 自举 | |------|------|------| | kubectl | 集群交互 | 手动 | | trivy | 镜像/IaC | bootstrap 若可用 | | kube-bench / kubeaudit | CIS/配置 | 手动 | |…