用途
该技能汇总容器化应用与 Kubernetes 的安全实践，覆盖从镜像构建、镜像扫描、编排配置到运行时监控的多个环节，帮助在容器生命周期的各个层次应用安全控制。
主要能力
- 镜像层安全：使用最小化基础镜像（Alpine、distroless、scratch）、漏洞扫描与签名，涉及工具 Trivy、Cosign、Grype。
- 构建层安全：多阶段构建、非 root 用户、镜像内不含密钥，涉及 Docker、Buildah、Kaniko。
- 镜像仓库层安全：扫描、签名验证、访问控制，涉及 Harbor、ECR、ACR。
- 运行时层安全：Seccomp、AppArmor、只读根文件系统，涉及 gVisor、Kata、Falco。
- 编排层安全：Pod 安全、RBAC、网络策略，涉及 Kubernetes、OPA/Gatekeeper。
- 密钥层安全：静态加密、外部密钥提供方，涉及 Vault、Sealed Secrets、External Secrets Operator (ESO)。
使用方式
资料提供了可直接参考的配置与命令示例，分为若干主题：
Dockerfile 安全模式
提供最小化安全 Dockerfile（固定版本基础镜像、提前创建非 root 用户、npm ci 安装依赖、多阶段构建、dumb-init 处理信号、健康检查、非特权端口）以及 distroless 生产镜像示例（静态编译 Go 二进制、使用 gcr.io/distroless/static-debian12:nonroot、以 UID 65532 运行）。
镜像扫描
提供 Trivy 扫描命令（按严重级别扫描镜像、生成 CycloneDX SBOM、扫描文件系统、CI 退出码、忽略未修复漏洞），以及 GitHub Actions 工作流示例，串联构建镜像、Trivy 扫描、Dockle 检查、SARI 结果上传与 Cosign 签名。
Kubernetes Pod 安全
提供在命名空间上强制 Pod Security Standards 的标签配置（enforce/warn/audit 分别设为 restricted 或 baseline），以及安全 Pod 规格示例（runAsNonRoot、RuntimeDefault seccomp、禁用自动挂载服务账号令牌、丢弃全部 capabilities、只读根文件系统、资源限制、健康探针、emptyDir 可写目录、禁用 host 网络/PID/IPC）。
网络策略
提供默认拒绝全部入口和出口的 NetworkPolicy，以及应用级策略示例（仅允许来自特定命名空间/标签的入口、允许 DNS 的 UDP 53 出口、允许数据库访问、允许外部 HTTPS 并排除内网网段）。
Kubernetes RBAC
提供最小权限 ServiceAccount（不自动挂载令牌）、只允许读取特定 ConfigMap 和 Secret 的 Role、以及 RoleBinding；并提供审计命令（列出 cluster-admin 绑定、检查服务账号权限、查找使用通配符的过宽角色）。
密钥管理
提供 External Secrets Operator 示例（SecretStore 指向 HashiCorp Vault、ExternalSecret 同步密钥）以及 Sealed Secrets 的安装、封存与提交到 Git 的命令。
运行时安全
提供自定义 Falco 规则示例，用于检测容器内未授权进程、写入敏感目录、容器内启动 shell，并定义 shell_binaries 与 allowed_shell_parents 列表。
快速参考
提供 Dockerfile 安全清单（无 latest 标签、非 root 用户、镜像内无密钥、多阶段构建、只读文件系统、最小基础镜像、签名镜像）和 Kubernetes 安全清单（非 root、禁止提权、丢弃 capabilities、只读根、资源限制、网络策略、seccomp、禁用 host 命名空间）。
适用场景
- 构建安全 Docker 镜像
- 配置 Kubernetes Pod 安全
- 搭建容器漏洞扫描
- 实施 Kubernetes RBAC
- 配置网络策略
- 在 Kubernetes 中管理密钥
- 搭建运行时安全监控
限制
资料未提供该技能的收费、价格、平台支持范围、具体安装步骤（作为 Claude 插件如何安装启用）或效果数据，这些信息暂未提供。文中的命令与配置示例需结合自身环境验证；关键词中提到的运行时工具（gVisor、Kata、seccomp、AppArmor）仅在工具表中列出，未展开具体配置步骤。