用途：该技能用于加固容器镜像与运行时配置，适用于构建安全镜像、加固容器部署、满足容器安全要求以及实施纵深防御的场景。
主要能力：
- Dockerfile 安全：使用最小基础镜像（如 alpine:3.18），通过 addgroup/adduser 创建非 root 用户，以 COPY --chown 指定属主复制，用 apk del --purge 与清理缓存移除多余包，并用 USER appuser 切换到非 root。
- 运行时安全：docker run 可配合 --read-only、--tmpfs /tmp、--security-opt=no-new-privileges:true、--cap-drop=ALL、--cap-add=NET_BIND_SERVICE、--user 1001:1001。
- Kubernetes 安全上下文：设置 runAsNonRoot、runAsUser、fsGroup，容器级 allowPrivilegeEscalation: false、readOnlyRootFilesystem: true 以及 capabilities drop: ["ALL"]。
- 镜像扫描：示例为 trivy image --severity HIGH,CRITICAL myapp:latest；可选用 distroless 镜像（gcr.io/distroless/static-debian11）。
最佳实践：使用最小基础镜像、以非 root 运行、启用只读文件系统、丢弃所有能力、定期扫描镜像、签名与验证镜像、使用密钥管理。
限制：资料未提供安装步骤、依赖版本、具体平台支持范围、收费信息与效果数据；示例命令与配置需按实际环境调整。