用途：在 Kubernetes 集群中配置并运维内置的 Pod Security Admission（PSA）准入控制器，按命名空间强制执行 Pod Security Standards。PSA 自 v1.25 起稳定，取代已弃用的 PodSecurityPolicy（PSP）。
主要能力：提供 Privileged（无限制）、Baseline（阻止已知提权，如 privileged 容器、hostPID、hostIPC、hostNetwork、hostPorts 及部分卷类型）、Restricted（要求非 root、drop ALL 能力、seccomp RuntimeDefault 等）三种配置；支持 enforce（拒绝违规 Pod）、audit（记录到审计日志）、warn（向用户告警）三种模式。
使用方式：通过命名空间标签设置，如 kubectl label namespace production pod-security.kubernetes.io/enforce=restricted pod-security.kubernetes.io/enforce-version=v1.28 pod-security.kubernetes.io/audit=restricted pod-security.kubernetes.io/warn=restricted；也可用 AdmissionConfiguration 设置集群默认值与豁免（系统命名空间、服务账号、runtimeClasses），并通过 kube-apiserver 的 --admission-control-config-file 加载。支持 kubectl label --dry-run=server 预演。
适用场景：首次接入 PSA、设置集群默认执行、豁免系统命名空间、排查 Pod 被拒或执行未生效、先 warn/audit 再 enforce 的渐进式上线、从审计日志提取违规、从 PSP 迁移。
限制：不负责决定工作负载应使用哪种配置或 Restricted 所需的 securityContext 改动（另见 implementing-kubernetes-pod-security-standards）。需 Kubernetes v1.25+ 与 cluster-admin 权限，无外部工具依赖。具体收费、价格与平台信息暂未提供。