用途：为 Kubernetes 集群实施纵深防御安全，包括网络分段、Pod 安全标准、RBAC 最小权限、准入控制与合规策略。
主要能力：
- Pod 安全标准：通过命名空间标签设置 privileged、baseline、restricted 三档强制/审计/告警级别。
- NetworkPolicy：提供默认拒绝全部入站出站、按标签放行前后端流量、放行 DNS 等示例。
- RBAC：Role（命名空间级）、ClusterRole（集群级）、RoleBinding 配置示例，实现最小权限。
- Pod 安全上下文：runAsNonRoot、只读根文件系统、丢弃全部 capabilities、seccompProfile 等。
- 准入控制：OPA Gatekeeper 的 ConstraintTemplate 与 Constraint 示例（如强制标签）。
- 服务网格安全：Istio PeerAuthentication 强制 mTLS、AuthorizationPolicy 授权。
使用方式：按需将示例 YAML 应用到集群，如 kubectl apply；排查时可用 kubectl get nodes -o wide、kubectl describe networkpolicy <name>、kubectl auth can-i list pods --as system:serviceaccount:default:my-sa 等命令。
适用场景：网络分段、多租户隔离、合规（CIS、NIST）、准入控制、服务账号权限收敛。
限制：资料未提供具体安装命令、版本要求、收费信息或效果数据；NetworkPolicy 生效依赖 CNI 支持，需自行确认。