用途：为 Kubernetes 集群实施纵深防御安全，包括网络策略、Pod 安全标准与 RBAC，适用于网络分段、Pod 安全标准配置、最小权限 RBAC、合规安全策略、准入控制及多租户集群加固。不适用于与 Kubernetes 安全策略无关的任务。
主要能力：
- Pod 安全标准：通过命名空间标签设置 privileged、baseline、restricted 三档 enforce/audit/warn。
- NetworkPolicy：提供默认拒绝全部入站出站、允许前端访问后端、允许 DNS 等示例，参考 assets/network-policy-template.yaml。
- RBAC：Role（命名空间级）、ClusterRole（集群级）、RoleBinding 示例，参考 references/rbac-patterns.md。
- Pod 安全上下文：runAsNonRoot、runAsUser、fsGroup、seccompProfile、allowPrivilegeEscalation、readOnlyRootFilesystem、drop ALL capabilities。
- 准入控制：OPA Gatekeeper 的 ConstraintTemplate 与 Constraint 示例（如要求 app、environment 标签）。
- 服务网格安全：Istio PeerAuthentication 设置 mTLS STRICT，AuthorizationPolicy 按 principal 允许访问。
使用方式：按需应用上述 YAML 清单；排查时可用 kubectl get nodes -o wide、kubectl describe networkpolicy <name> 检查 CNI 是否支持 NetworkPolicy，用 kubectl auth can-i list pods --as system:serviceaccount:default:my-sa 等命令检查有效权限。
最佳实践：命名空间级实施 Pod 安全标准、用网络策略分段、为所有服务账号应用最小权限 RBAC、启用准入控制、容器非 root 运行、只读根文件系统、按需丢弃能力、配置资源配额与限制范围、启用审计日志、定期扫描镜像。合规方面涉及 CIS Kubernetes Benchmark 与 NIST 网络安全框架。
限制：资料未提供具体版本兼容性、性能影响、收费或平台信息；实际效果取决于集群 CNI 与准入控制器支持情况。