用途：面向生产环境的 Kubernetes 资源设计、安全加固、Helm 打包与日常运维，重点覆盖那些不会报错、只在负载、节点维护或加固集群下才暴露的隐性故障。
主要能力：提供带注释的清单示例，涵盖 Deployment、Service、Ingress、ConfigMap/Secret、HorizontalPodAutoscaler、NetworkPolicy（含默认拒绝）、RBAC 最小权限、带每 Pod 存储的 StatefulSet，以及 Helm chart 结构与 _helpers.tpl 标签模板。另附工作负载与身份对照表（Deployment/StatefulSet/DaemonSet/Job/CronJob 的适用场景）、排障命令和常见问题（ImagePullBackOff、CrashLoopBackOff、Pending、OOMKilled、DNS 失败、PVC pending、HPA 不扩缩）的原因与修复。
必要用法：Helm 安装前用 helm lint、helm template、helm install --dry-run 验证，回滚用 helm rollback <release> <rev>；模板名需 ... | trunc 63 | trimSuffix "-"。排障常用 kubectl describe pod、kubectl logs [--previous]、kubectl get events --sort-by='.lastTimestamp'、kubectl top、kubectl rollout status|history|undo|restart、kubectl auth can-i、kubectl get --raw '/livez?verbose' 与 '/readyz?verbose'。
关键实践：liveness 只查进程健康，readiness 才查依赖；用 startupProbe 而非过大的 initialDelaySeconds；高密度下优先 httpGet/tcpSocket/grpc 而非 exec。CPU limit 会触发 CFS 限流，延迟敏感服务可只设 requests 但保留内存 limit；QoS 按 Pod 计算，任一容器未设 requests==limits 即降级。用 topologySpreadConstraints 做硬性可用区打散，配合 preferred podAntiAffinity 做软性节点打散，并用 matchLabelKeys: [pod-template-hash] 隔离各发布版本。
限制：Secret 默认仅 base64 编码，etcd 中未加密，需启用静态加密或 External Secrets Operator；示例中凭据均为占位符，不应提交真实密钥。基于内存的 HPA 只扩不缩，建议用 CPU 或外部指标。componentstatuses 自 1.19 起弃用。具体版本兼容与集群差异暂未提供。