用途：用于配置双向 TLS（mTLS），实现零信任的服务间通信。适用于零信任组网、服务间通信加固、证书轮换与管理、TLS 握手问题排查、合规要求（PCI-DSS、HIPAA）以及多集群安全通信。任务与 mTLS 配置无关或超出该范围时不适用。
主要能力：
- 提供 Istio 严格模式（STRICT）与迁移用宽松模式（PERMISSIVE）的 PeerAuthentication 模板，支持命名空间级覆盖和工作负载级策略，并可按端口分别设置（如指标端口 DISABLE）。
- 提供 Istio DestinationRule 配置，默认使用 ISTIO_MUTUAL，也覆盖对外部服务的 SIMPLE TLS 与 MUTUAL mTLS。
- 提供 cert-manager 与 Istio 集成的 ClusterIssuer、CA Secret、工作负载 Certificate 模板，可配置有效期与续期时间及 DNS 名称、用途。
- 提供 SPIFFE/SPIRE 集成：SPIRE Server 配置、NodeAttestor/KeyManager/UpstreamAuthority 插件，以及 SPIRE Agent DaemonSet。
- Linkerd 自动启用 mTLS，并说明对外部服务及需跳过端口（如 MySQL 3306）的处理方式。
- 证书轮换与检查（Istio 查看证书过期、重启触发轮换、Linkerd 查看 identity），以及 mTLS 问题排查命令（tls-check、查看 PeerAuthentication/DestinationRule、代理日志、Linkerd viz）。
必要用法：通过编辑相应命名空间（如 istio-system）的 PeerAuthentication 设置 mtls.mode，用 DestinationRule 配置 trafficPolicy.tls，用 cert-manager 的 Certificate 签发工作负载证书；调试时可用 istioctl authn tls-check、istioctl proxy-config log、linkerd viz edges 等命令。
最佳实践：先从 PERMISSIVE 开始逐步迁移到 STRICT；监控证书过期并设置告警；工作负载证书有效期用 24 小时或更短；定期轮换 CA；记录 TLS 错误。避免在生产中出于便利关闭 mTLS、忽略证书过期、使用自签名证书或不验证完整证书链。
限制：资料只给出配置模板与命令示例，未提供具体环境适配、版本兼容性、性能数据、收费信息或量化效果；实施效果需结合自身环境验证。