用途：面向 Kubernetes 与容器安全，提供集群加固、RBAC 审查、准入控制、Pod 安全、网络策略与运行时检测的流程化技能。
授权边界：执行实时查询前需提供集群上下文、命名空间范围与只读 kubeconfig；避免在生产环境做破坏性运行时探测，优先使用预发或临时集群。
加固流程：
- 清点：API server 参数、节点 OS、CNI、CSI、ingress、服务网格、准入插件、控制器。
- 扫描：kube-bench、kubescape、trivy k8s、polaris、kubeaudit、popeye。
- RBAC：枚举 ClusterRole/RoleBinding，标记通配符动词、system:masters、escalate、bind、impersonate，以及宽泛主体读取 secret。
- 工作负载：强制 Pod Security restricted，丢弃 capabilities、只读 rootfs、非 root UID、seccomp RuntimeDefault，禁止 hostPath/hostNetwork/hostPID。
- 网络：默认拒绝 NetworkPolicy，显式放行已知服务出站，适用时通过网格启用 mTLS。
- 供应链：镜像签名校验（cosign verify）、来源证明（SLSA）、准入策略阻断未签名镜像。
- 运行时：Falco/Tetragon 规则检测容器内 exec、反弹 shell、挖矿、敏感挂载。
多租户模式：每租户独立命名空间并配置配额、LimitRange 与 NetworkPolicy 隔离；不可信工作负载使用独立节点池，gVisor 或 Kata 沙箱；按租户过滤审计日志，密钥经外部 KMS 管理，禁止内联。
输出契约：inventory.yaml、findings.csv、policies/（Gatekeeper/Kyverno）、netpol/、runtime/falco-rules.yaml；runbook.md 覆盖受损 Pod、令牌泄露、挖矿检测的应急响应；gap.md 记录缺失遥测与修复建议。
限制：资料未提供具体安装命令、收费方式、支持平台与效果数据，暂未提供。