用途：为服务网格提供双向 TLS（mTLS）配置参考，实现零信任的服务间通信，场景包括零信任网络、服务间加密、证书轮换管理、TLS 握手排障、PCI-DSS/HIPAA 合规与多集群安全互通。
主要能力：
- Istio mTLS：用 PeerAuthentication 配置网格级 STRICT、命名空间 PERMISSIVE 迁移、工作负载级策略与端口级例外（如指标端口 DISABLE）。
- DestinationRule：用 ISTIO_MUTUAL 启用网格内 mTLS，对外部服务用 SIMPLE、对合作方用 MUTUAL 并指定证书路径。
- cert-manager + Istio：通过 ClusterIssuer、CA Secret 与 Certificate 签发工作负载证书，指定 duration、renewBefore、commonName、dnsNames 与 server/client auth 用途。
- SPIFFE/SPIRE：给出 SPIRE Server ConfigMap 与 Agent DaemonSet 的配置要点，含 trust_domain、x509 SVID TTL 与 k8s_psat 节点证明。
- Linkerd：mTLS 自动启用，用 linkerd viz edges 验证，可用 skip-outbound-ports 跳过特定端口。
使用方式：按模板编写 Kubernetes YAML（Istio PeerAuthentication、DestinationRule、cert-manager Certificate、SPIRE ConfigMap/DaemonSet、Linkerd Server 与 Service 注解）。证书检查与轮换可用 istioctl proxy-config secret、kubectl rollout restart、linkerd identity；排障用 istioctl authn tls-check、kubectl get peerauthentication/destinationrule、istioctl proxy-config log --level debug、kubectl logs 与 linkerd viz tap。
限制与注意事项：资料未提供具体价格、支持平台清单或性能数据。实践建议以 PERMISSIVE 起步再迁移到 STRICT，监控证书过期、使用 24 小时以内短周期证书并定期轮换 CA；避免在生产中为便利关闭 mTLS、使用自签名证书或跳过完整链验证。