用途：面向在 EKS、AKS、GKE 上运行托管 Kubernetes 集群的团队，用于新集群生产部署的安全配置，或安全审计、渗透测试后的加固，以及消除 Pod 内静态云凭证、跨命名空间强制 Pod 安全、集成运行时威胁监控。不适用于 ECS Fargate、Azure Container Instances 等非 Kubernetes 容器部署，也不覆盖容器内应用层安全与 CI/CD 流水线安全。
主要能力与步骤：一、通过命名空间标签启用 Pod Security Admission，生产命名空间强制 restricted 配置，暂存环境用 baseline；二、配置云原生工作负载身份，EKS 用 IRSA（eksctl create iamserviceaccount），GKE 用 Workload Identity，AKS 用 Azure AD Workload Identity，避免 Pod 内静态凭证；三、部署网络策略，默认拒绝全部入站出站，再按最小权限放行；四、配置最小权限 RBAC，角色限定命名空间与资源，避免非管理用户使用 ClusterRoleBinding；五、用 Kyverno 或 OPA/Gatekeeper 做镜像准入控制，限制可信仓库并要求镜像摘要；六、部署 Falco 做运行时监控，用 kube-bench 做 CIS 基准评估。
适用场景：生产集群安全基线建设、凭证治理、横向移动防护、镜像供应链管控、容器运行时威胁检测。
限制：需要集群管理员权限、kubectl 配置、支持网络策略的 CNI（Calico、Cilium）；Pod Security Policies 已在 v1.25 移除，应改用 Pod Security Admission；具体收费、价格与平台支持范围资料未提供。