该技能用于为 Kubernetes 集群实施纵深防御安全，主要围绕网络策略、Pod 安全标准和 RBAC 展开。
用途与适用场景：实施网络分段；配置 Pod 安全标准；建立最小权限 RBAC；为合规创建安全策略；实现准入控制；加固多租户集群。
主要能力：
- Pod 安全标准：通过命名空间标签设置 privileged、baseline、restricted 三种级别，含 enforce、audit、warn。
- NetworkPolicy：提供默认拒绝所有（Ingress/Egress）、前端到后端放行、DNS 放行等示例，参考 assets/network-policy-template.yaml。
- RBAC：Role（命名空间级）、ClusterRole（集群级）、RoleBinding 示例，参考 references/rbac-patterns.md。
- Pod 安全上下文：runAsNonRoot、readOnlyRootFilesystem、drop 全部 capabilities、seccompProfile 等。
- OPA Gatekeeper：ConstraintTemplate 与 Constraint 示例，用于强制标签等准入校验。
- Istio 服务网格：PeerAuthentication 设置 STRICT mTLS、AuthorizationPolicy 放行指定服务账户。
最佳实践：命名空间级实施 Pod 安全标准；用网络策略分段；对服务账户应用最小权限 RBAC；启用准入控制（OPA Gatekeeper/Kyverno）；非 root 运行；只读根文件系统；仅在需要时保留 capabilities；配置资源配额与 LimitRange；启用审计日志；定期镜像扫描。
合规参考：CIS Kubernetes Benchmark（RBAC 授权、审计日志、Pod 安全标准、网络策略、静态加密、节点认证）与 NIST 网络安全框架（纵深防御、网络分段、安全监控、访问控制、日志监控）。
排查：NetworkPolicy 不生效时用 kubectl get nodes -o wide、kubectl describe networkpolicy <name>；RBAC 权限被拒时用 kubectl auth can-i list pods --as system:serviceaccount:default:my-sa 等检查有效权限。
限制：资料未提供该技能的安装或调用命令；PodSecurityPolicy 在较新版本中已弃用，具体版本兼容性未说明；效果、收费与平台支持暂未提供。