用途：借助 kubectl-mcp-server 工具对 Kubernetes 集群做安全审计、RBAC 权限管理与策略执行。触发场景包括安全审查、权限检查、策略合规、访问控制与密钥相关操作。
主要能力：
- RBAC 审计：用 get_roles(namespace)、get_cluster_roles()、get_role_bindings(namespace)、get_cluster_role_bindings() 列出角色与绑定，用 get_service_accounts(namespace) 检查服务账号，重点关注 cluster-admin 绑定、通配符动词、secrets 读写、pod/exec 等高风险模式。
- 策略执行：Kyverno 用 kyverno_policies_list_tool(namespace)、kyverno_clusterpolicies_list_tool()、kyverno_policy_get_tool(name, namespace)；Gatekeeper 用 gatekeeper_constraints_list_tool()、gatekeeper_constraint_get_tool(kind, name)、gatekeeper_templates_list_tool()。常见策略如禁止特权容器、要求资源限制、限制主机命名空间、限制镜像仓库等。
- 密钥与网络：get_secrets(namespace) 列出密钥；get_network_policies(namespace) 及 cilium_policies_list_tool(namespace)、cilium_policy_get_tool(name, namespace) 核查隔离策略。
使用方式：按优先级先查 cluster-admin 绑定，再审计 secrets 权限，随后验证网络隔离、策略合规与 Pod 安全上下文（get_pods、describe_pod）。可借助 context 参数跨集群审计多套环境。
适用场景：安全评审、权限审计、合规检查、密钥访问核查与网络隔离验证。
限制：具体需要部署 kubectl-mcp-server 及相应 Kyverno、Gatekeeper、Cilium、Istio 组件才能调用对应工具；详细模式与修复参考 RBAC-PATTERNS.md 与 scripts/audit-rbac.py。收费、价格与具体平台支持情况暂未提供。