用途：为 Kubernetes 集群实施纵深防御安全，覆盖 Pod 安全标准、网络策略、RBAC、准入策略与服务网格加密等场景。
主要能力：提供 Pod Security Standards（如 restricted 命名空间标签）、安全 Pod 配置（runAsNonRoot、只读根文件系统、丢弃全部 capabilities、seccompProfile）、NetworkPolicy（默认拒绝全部、按标签放行前后端、放行 DNS 出站）、RBAC（Role 与 RoleBinding 最小权限）、OPA Gatekeeper 的 ConstraintTemplate（如强制标签）以及 Istio PeerAuthentication 的 STRICT mTLS 示例。
使用方式：以 YAML 清单形式给出配置，通过 kubectl 应用；排查时可用 kubectl auth can-i list pods --as system:serviceaccount:default:my-sa 检查 RBAC 权限，用 kubectl describe networkpolicy <name> 与 kubectl get networkpolicy -A 调试网络策略。
适用场景：集群加固、命名空间隔离、服务账号权限收敛、准入校验与网格内加密。
限制：资料未提供具体安装命令、版本兼容性、收费与效果说明；示例需按实际集群调整。