Kubernetes Hardening 是一个面向 Kubernetes 集群与工作负载安全加固的技能，来源于 bagelhole/devops-security-agent-skills 技能集。其目标是帮助用户安全地配置 Kubernetes 集群和工作负载。
用途 该技能适用于以下场景：加固 Kubernetes 集群、实施 Pod Security Standards、配置网络策略、满足安全合规要求。
主要能力 技能围绕 Kubernetes 原生安全机制展开，提供以下方面的配置示例与指导：
-
Pod Security Standards：通过命名空间标签启用策略。示例中为 production 命名空间设置 pod-security.kubernetes.io/enforce、audit、warn 三个标签，值均为 restricted。
-
安全上下文（Security Context）：在 Pod 级别设置 runAsNonRoot: true、runAsUser: 1000、runAsGroup: 1000、fsGroup: 1000，并配置 seccompProfile 类型为 RuntimeDefault；在容器级别设置 allowPrivilegeEscalation: false、readOnlyRootFilesystem: true，并通过 capabilities 的 drop 丢弃 ALL 权限。
-
网络策略（Network Policies）：示例包含一个 default-deny-all 策略，podSelector 为空，policyTypes 同时覆盖 Ingress 与 Egress，实现默认拒绝；以及一个 allow-web 策略，允许来自标签 app: frontend 的 Pod 访问标签 app: web 的 Pod 的 8080 端口。
-
RBAC：示例定义一个 app-reader Role，允许对 pods 和 services 执行 get、list 操作；并通过 RoleBinding 将该 Role 绑定到名为 myapp 的 ServiceAccount。
使用方式 技能以 YAML 清单示例的形式给出配置方法，用户可参考这些示例编写并应用 Kubernetes 资源清单。示例涵盖 Namespace、Pod、NetworkPolicy、Role、RoleBinding 等资源类型。
最佳实践 技能列出的最佳实践包括：启用 Pod Security Standards、实施网络策略、使用最小权限的 RBAC、启用审计日志、对 etcd 进行加密保护、使用服务网格实现 mTLS、定期进行安全扫描。
适用场景 适用于需要加固 Kubernetes 集群、实施 Pod 安全标准、配置网络隔离策略或满足安全合规要求的运维与安全场景。
相关技能 kubernetes-ops（K8s 运维）、container-hardening（容器安全）。
限制 资料未提供该技能的具体安装命令、支持的 Kubernetes 版本、收费方式或价格信息，这些内容暂未提供。