用途：在 Pod 之上的一层加固与审计 Kubernetes 平台，防止被入侵的工作负载、恶意 Chart、泄露令牌或恶意控制器提权到 cluster-admin、读取全部 Secret 或拖垮集群。范围包括控制面与 etcd、API Server 与 kubelet 加固、RBAC 与 ServiceAccount 身份、准入控制与策略即代码、GitOps 控制器、Operator/CRD 与准入 Webhook、Helm/Kustomize 准入、多租户边界、集群生命周期与 K8s 审计日志。Pod 隔离机制、NetworkPolicy 语义、OIDC/SSO 设计、运行时检测内容、Secret 存储后端、云 IAM 与 CI/CD 流水线分别交由其他技能处理。
两种模式：BUILD 用于创建集群、编写 RBAC/策略/清单、配置 GitOps 或安装 Operator/Chart；AUDIT 用于审查现有集群的 RBAC、策略、GitOps 配置与 Operator。
主要能力与要求：默认最小权限，禁止通配符 RBAC，automountServiceAccountToken 默认关闭；etcd 使用 KMS v2 静态加密（Secret 默认仅 base64）；准入策略必须 ENFORCE 而非长期 audit/warn，并给出 AUDIT→ENFORCE 上线计划；GitOps 作为唯一写入路径并收紧 AppProject；Operator 取最小 RBAC，Webhook 正确设置 failurePolicy/timeoutSeconds/namespaceSelector 与 TLS；启用 API Server 审计日志并异地保存，etcd 备份需实际恢复演练。
审计输出格式为 file:line | rule | severity | effort | fix，严重级别按可达性×收益判定，结尾给出各级别计数、按性价比排序的前三项修复与明确的超出范围清单。
限制：不涉及 Pod 安全上下文内部机制、CNI/服务网格、身份系统设计、检测规则内容、云 IAM 与流水线来源验证；云托管控制面内部不可见部分列为残余风险。若用户要求违反上述不可妥协项，应先实现安全替代方案并说明差异。