用途：本技能面向平台团队视角，用于在 Debian/Ubuntu VPS 主机上以 kubeadm 自建 Kubernetes 集群，并设计多团队或多租户的命名空间、RBAC、ResourceQuota、LimitRange 与 Pod Security 边界；同时覆盖集群生命周期（升级、证书轮换、etcd 备份与恢复）以及安装集群之上的最小平台层：入口控制器、cert-manager、metrics-server。
主要能力：提供控制面与节点组件说明、kubeadm 引导流程、工作负载最小合规清单、Helm 发行版管理、RBAC 四类对象与决策表、资源治理、三种 Pod Security 标准（Privileged、Baseline、Restricted）、NetworkPolicy 默认拒绝、升级与证书轮换命令、etcd 快照命令，以及平台组件版本固定要求。
必要用法：控制面初始化示例：sudo kubeadm init --apiserver-advertise-address=<control-plane-ip> --pod-network-cidr=10.244.0.0/16；加入命令由 sudo kubeadm token create --print-join-command 生成，工作节点用 sudo kubeadm join 加入。升级使用 kubeadm upgrade plan、kubeadm upgrade apply、kubeadm upgrade node；证书轮换使用 kubeadm certs check-expiration 与 kubeadm certs renew all；etcd 备份使用 etcdctl snapshot save，并按上游文档恢复。每个命名空间应先具备 RBAC、配额、LimitRange 和 restricted Pod Security 标签再承载工作负载。
适用场景与限制：适合自建集群引导、治理、安全与生命周期管理。应用内部架构、基础设施即代码、CI/CD 管线、可观测性深度和服务网格均不在范围内，需由其他技能处理。成本、托管对比细节和具体版本号暂未提供，实施前应核对上游文档。