核心用法
vmware-harden 是一款面向 VMware vSphere/ESXi/NSX 环境的 AI-native 合规扫描工具，主要功能包括：
- 多标准合规扫描：内置 CIS ESXi 8.0、vSphere SCG v8、等保 2.0 三级、PCI-DSS 4.0、BSI IT-Grundschutz、EU NIS2 六大基线，支持自定义 YAML 基线导入
- 配置漂移检测：通过快照对比（snapshot-to-snapshot diff）识别环境配置变更
- LLM 驱动的修复建议：集成 Anthropic API 生成上下文感知的修复方案（无 API key 时回退至模板）
- Web Dashboard：FastAPI + Jinja2 构建的只读可视化界面
显著优点
1. 开箱即用的权威基线：覆盖国际国内主流合规框架，等保 2.0 三级为国内企业刚需
2. 安全架构设计：6 个 MCP 工具均为只读，修复执行强制委托至 vmware-pilot 审批工作流，符合最小权限原则
3. AI 原生集成：Twin 数据存储 + LLM 建议，实现"检测-分析-建议"闭环
4. 生态协同：与 vmware-aiops（数据采集）、vmware-pilot（执行修复）、vmware-nsx-security（防火墙证据）等技能形成完整工具链
潜在局限
- 依赖上游技能：必须预先配置 vmware-aiops 采集器，无法直连 vCenter
- 等保全量扫描复杂度高：需同时启用 vCenter、ESXi、NSX 多个采集器，否则部分规则因"无证据"被跳过
- 修复建议需人工审批：本工具仅生成建议，实际修复需切换至 vmware-pilot，增加操作步骤
- API 依赖：高质量修复建议依赖 Anthropic API，无 key 时降级为通用模板
适合人群
- 安全合规团队：需定期输出 CIS/等保/PCI-DSS 合规报告
- 运维审计人员：追踪配置变更、排查漂移根因
- DevSecOps 工程师：将合规扫描集成至 CI/CD 门禁
常规风险
- 数据一致性风险：若
VMWARE_HARDEN_DB环境变量在 CLI 与 Web 服务间不一致，可能导致"扫描后 dashboard 显示 0 违规" - 证据链不完整风险：部分采集器未运行时，等保基线规则大量跳过，产生"假阴性"
- LLM 幻觉风险：修复建议虽经
_sanitize()清洗，仍可能因上下文 truncation 产生不精确方案，需人工复核 - 供应链风险：MIT 开源项目，非 VMware/Broadcom 官方产品，企业使用需评估维护持续性
安全等级说明
- 只读设计 + 强制审批代理模式，降低误操作风险
- 无密码持久化，凭证全托管于上游 vmware-aiops
- 审计日志完整记录至
~/.vmware/audit.db