用途：为 Kubernetes 集群实施纵深防御安全，包括网络分段、Pod 安全标准、RBAC 最小权限、准入控制与多租户隔离，可用于合规建设。
主要能力：Pod 安全标准按命名空间配置 privileged、baseline、restricted 三档（通过 pod-security.kubernetes.io/enforce、audit、warn 标签）。NetworkPolicy 支持默认拒绝全部 Ingress/Egress、按 podSelector 放行前后端流量、放行 kube-system 的 UDP 53 DNS。RBAC 提供 Role、ClusterRole 与 RoleBinding 示例。Pod 安全上下文示例含 runAsNonRoot、runAsUser、fsGroup、seccompProfile、allowPrivilegeEscalation: false、readOnlyRootFilesystem、capabilities drop ALL。OPA Gatekeeper 提供 ConstraintTemplate 与 Constraint，用于校验必填标签。Istio 提供 PeerAuthentication 的 STRICT mTLS 与 AuthorizationPolicy 放行规则。
使用方式：将示例 YAML 应用至集群；排查 NetworkPolicy 可用 kubectl get nodes -o wide、kubectl describe networkpolicy <name>；排查 RBAC 可用 kubectl auth can-i list pods --as system:serviceaccount:default:my-sa 与 kubectl auth can-i '' '' --as system:serviceaccount:default:my-sa。参考文件包括 assets/network-policy-template.yaml、assets/pod-security-template.yaml、references/rbac-patterns.md。
适用场景：网络分段、Pod 安全标准配置、服务账户最小权限、合规审计、准入控制、多租户集群加固。
限制：NetworkPolicy 需 CNI 支持；PodSecurityPolicy 在资料中仅提及未给出示例，其弃用状态等未提供；具体版本兼容性、费用与平台支持暂未提供。