核心用法
vmware-harden 是一款专为 VMware vSphere/ESXi/NSX 环境设计的AI原生合规审计与基线检测工具。核心能力覆盖六大场景：
1. 多标准合规扫描：内置 CIS ESXi 8.0、vSphere SCG v8、等保2.0三级、PCI-DSS 4.0、BSI IT-Grundschutz、EU NIS2 六大基线，支持自定义YAML基线导入
2. 配置漂移检测：基于DuckDB快照对比，识别节点级字段的新增/删除/变更
3. 智能修复建议：集成Anthropic Claude API，为每个违规项生成上下文感知的修复步骤（无API Key时降级为模板建议）
4. Web仪表板：FastAPI+Jinja2驱动的只读可视化界面
5. MCP协议支持：6个只读工具供AI Agent调用
技术架构：依赖 vmware-aiops 作为数据采集层（不直连vCenter），扫描结果存储于本地DuckDB（~/.vmware-harden/twin.duckdb），完全离线运行。
---
显著优点
| 维度 | 优势 |
|------|------|
| **合规覆盖** | 中西主流标准全覆盖，特别包含等保2.0三级（罕见支持） |
| **安全设计** | 纯只读扫描，6个MCP工具均为Read操作；修复执行强制隔离至vmware-pilot审批流程 |
| **AI增强** | LLM驱动的修复建议大幅降低合规专业知识门槛 |
| **可扩展性** | YAML自定义基线，支持企业内部合规标准 |
| **生态集成** | 与vmware-aiops/monitor/nsx-security/pilot等10+技能形成完整工作流 |
---
潜在缺点与局限性
1. 执行隔离带来的流程摩擦：修复建议与执行分离虽提升安全性，但增加了操作步骤（需切换至vmware-pilot）
2. 依赖链复杂：必须预先配置vmware-aiops采集器，否则无法扫描；等保全量检测需多采集器协同（vCenter+ESXi+NSX）
3. AI建议质量依赖外部服务：Anthropic API调用产生额外成本，无Key时建议降为通用模板
4. 数据孤岛风险：DuckDB为本地文件，多节点部署需自行同步VMWARE_HARDEN_DB路径
5. 社区维护性质：非VMware官方工具，商标免责声明明确
---
适合人群
- 云/虚拟化安全工程师：需定期输出等保/CIS合规报告
- DevOps/SRE团队：CI/CD流水线中嵌入合规门禁
- VMware管理员：配置变更后的漂移回溯与审计
- AI Agent开发者：通过MCP协议集成合规检测能力
---
常规风险
| 风险类别 | 说明 | 缓解措施 |
|----------|------|----------|
| **误报漏报** | 基线规则与特定环境版本不匹配 | 使用`baseline validate`预检，自定义YAML覆盖 |
| **快照膨胀** | 频繁扫描导致DuckDB文件增长 | 定期归档或设置`VMWARE_HARDEN_DB`轮转 |
| **API密钥泄露** | `ANTHROPIC_API_KEY`存储于本地env | 遵循vmware-aiops凭证隔离模式，不入代码库 |
| **多源数据不一致** | Web仪表板与CLI读取不同DB路径 | 确保`VMWARE_HARDEN_DB`环境变量全局一致 |
| **依赖技能故障** | vmware-aiops采集器异常导致扫描失败 | 扫描前执行`vmware-aiops doctor`健康检查 |