用途：用于加固 Kubernetes 集群和工作负载，实施 Pod Security Standards、配置安全上下文与网络策略、按最小权限配置 RBAC，并满足安全合规要求。
主要能力：提供 Namespace 上的 pod-security.kubernetes.io/enforce/audit/warn 标签示例；提供 securityContext 示例（runAsNonRoot、runAsUser/Group、fsGroup、seccompProfile，以及容器级 allowPrivilegeEscalation、readOnlyRootFilesystem、capabilities drop ALL）；提供默认拒绝的 NetworkPolicy 与按 podSelector/端口放行示例；提供 Role 与 RoleBinding 的 RBAC 示例。
使用方式：应用任何策略前，先确认确切的集群/命名空间/版本与获授权的写入范围；核对镜像、命名空间、服务账户、标签与运行时存储；在有支持的场景下将策略版本固定到目标 Kubernetes 版本。建议先只读盘点，例如 which <tool> && <tool> --help | head -n 20。
适用场景：集群加固、Pod Security Standards 落地、网络策略配置、安全合规整改。
限制：示例为片段，需按实际情况校验后再应用。Restricted 准入只约束新建或更新的 Pod，不会追溯修复正在运行的工作负载，也不等于达成合规。NetworkPolicy 生效需要支持它的 CNI；默认拒绝示例在添加窄范围规则前也会阻断 DNS 及依赖流量；同命名空间 podSelector 不授权任意命名空间。应从真实源身份测试允许与拒绝流量，并保留恢复访问。readOnlyRootFilesystem 可能需要有限的可写临时卷，启动出错后不要盲目关闭。破坏性步骤先在非生产环境测试。本导入为纯文档，未捆绑上游脚本与模板。