用途：在 EKS、AKS、GKE 上部署或加固托管 Kubernetes 集群，落实 Pod 安全标准、网络策略、工作负载身份、RBAC、镜像准入控制与运行时监控。不适用于 ECS Fargate、Azure 容器实例等非 Kubernetes 部署，也不覆盖容器内应用安全与 CI/CD 流水线安全。
主要能力：按命名空间启用 Pod Security Admission（restricted/baseline 标签）；用 IRSA、GKE Workload Identity、AKS Azure AD Workload Identity 消除 Pod 内静态云凭证；用 NetworkPolicy 实现默认拒绝与最小权限通信；按命名空间收敛 RBAC；用 Kyverno 等准入控制限制镜像来源并要求镜像摘要；用 Falco 做运行时威胁检测，用 kube-bench 做 CIS 基准评估，用 Trivy 扫描镜像。
使用方式：需具备集群管理员权限与已配置的 kubectl，CNI 需支持网络策略（如 Calico、Cilium）。按步骤依次配置命名空间标签、工作负载身份、网络策略、RBAC、准入策略与运行时监控；示例命令包括 eksctl create iamserviceaccount、gcloud iam service-accounts add-iam-policy-binding、az identity federated-credential create、helm install falco、kubectl apply -f job-eks.yaml 等。
适用场景：新生产集群安全部署、审计或渗透测试后的加固、消除静态云凭证、跨命名空间强制 Pod 安全、容器级威胁监控。
限制：需管理员权限与支持网络策略的 CNI；Pod Security Policies 已在 v1.25 移除，应改用 Pod Security Admission；具体收费、价格与效果资料暂未提供。