用途：构建安全容器镜像、加固容器部署、满足容器安全要求并实现纵深防御。
主要能力：提供 Dockerfile 安全写法（使用最小基础镜像、固定摘要、创建非 root 用户、仅复制已审查构建产物）；运行时安全选项（--read-only、--tmpfs /tmp:rw,noexec,nosuid,size=64m、--security-opt=no-new-privileges:true、--cap-drop=ALL、--user 1001:1001）；Kubernetes 安全上下文模板（runAsNonRoot、runAsUser、fsGroup、allowPrivilegeEscalation: false、readOnlyRootFilesystem: true、capabilities.drop: [ALL]）；以及镜像扫描命令，如 trivy image --severity HIGH,CRITICAL myapp@sha256:<reviewed-image-digest>。
最佳实践：使用最小基础镜像、以非 root 运行、启用只读文件系统、丢弃全部能力、定期扫描、签名并验证镜像、使用密钥管理。相关技能包括 container-scanning 与 kubernetes-hardening。
限制：Dockerfile 需预先构建好适配所选 ABI 的可执行文件 myapp，镜像不自带；编译应放在独立 builder 阶段。运行前须将摘要占位符替换为经验证的镜像标识；Pod YAML 仅为模板，需按实际调整资源、卷、网络策略与工作负载权限。只读文件系统与能力裁剪降低权限但并非完整沙箱；仅在确有需要时添加可写路径。扫描可能泄露产物或访问网络数据库，需先审查数据路径与策略。