K8s集群安全基线自动化巡检：如何设计可落地的检查清单与自动化脚本？

【背景】 管理一个生产环境 K8s 集群（3 master + 5 worker，RBAC 已启用，镜像来自私有 Harbor），当前安全基线较为粗放，缺乏一套可落地、可重复执行的安全加固检查机制。

【现象】 目前依赖人工巡检，效率低且易漏检。希望构建一个自动化、标准化的检查流程，以降低安全风险。

【已尝试的排查与结果】

• 参考了 CIS 基线文档，但发现其部分项（如容器 Capabilities 限制）与我们的业务场景冲突；
• 查到类似问题（如 #2829、#2794），但现有方案需二次开发适配多云环境；
• 试图复用 #467 中的配置漂移检测逻辑，但未覆盖网络策略与镜像签名校验。

【期望答案形态】

1. 一份 Markdown 格式的安全基线检查清单（含 CIS 与自定义项）；
2. 可直接运行的 Bash/Python 脚本（覆盖 5 个以上风险场景）；
3. 如何与 CI/CD 流水线集成（参考 #2753 的 TLS 巡检模式）。

引用依据：

• K8s 安全基线核对问题
• 安全加固检查清单需求
• 配置漂移与安全基线讨论