Kubernetes Security 是一份针对 Kubernetes 部署的安全最佳实践技能，内容以 YAML 配置示例和命令行示例为主，覆盖从工作负载到集群策略的多个安全层面。
用途 该技能用于在实现 Kubernetes 安全最佳实践时提供参考，包括 RBAC、Pod 安全策略和网络策略等。它把常见的安全加固点整理为可直接参考的配置片段，帮助使用者在编写或审查 Kubernetes 清单时对照落实。
主要能力
- Pod 安全：提供以非 root 运行（runAsNonRoot、runAsUser、fsGroup）、只读根文件系统（readOnlyRootFilesystem 配合 emptyDir 挂载 /tmp）、丢弃能力（capabilities.drop: ALL，并按需 add: NET_BIND_SERVICE）、阻止权限提升（allowPrivilegeEscalation: false、privileged: false）等 securityContext 配置示例。
- 网络安全：提供 NetworkPolicy 示例，通过 podSelector 选择目标 Pod，并分别定义 Ingress 与 Egress 规则，例如仅允许 frontend 访问 api 的 8080 端口，仅允许 api 访问 database 的 5432 端口。
- RBAC：提供 ServiceAccount、Role（如 pod-reader 允许对 pods 执行 get、list）与 RoleBinding（将 Role 绑定到 ServiceAccount）的完整示例。
- 密钥管理：说明在 etcd 中启用静态加密，给出 ExternalSecret 示例（通过 SecretStore 引用 vault-backend，设置 refreshInterval 与 remoteRef），并对比硬编码密码与使用 secretKeyRef 的正确写法。
- 资源限制：提供容器 resources 的 limits 与 requests 示例，以及 LimitRange（限制单容器内存上下限）和 ResourceQuota（限制命名空间内 CPU 与内存的 requests/limits 总量）示例。
- 镜像安全：建议使用具体标签而非 latest，说明 imagePullPolicy，并给出通过 imagePullSecrets 使用私有仓库的示例。
- Pod 安全标准：给出命名空间标签示例，将 enforce、audit、warn 均设为 restricted。
- 安全扫描：列出使用 kubesec 扫描清单、使用 trivy 扫描镜像、使用 OPA 进行策略校验的命令。
使用方式 该技能以配置片段和命令示例的形式呈现，使用者可在编写 Kubernetes YAML 清单时按需参考对应章节，将示例中的字段与取值适配到自身工作负载；也可在安全审查或加固过程中逐项对照检查。扫描部分可直接运行给出的命令，例如 kubesec scan pod.yaml、trivy image nginx:1.21、opa eval -d policy.rego -i manifest.yaml。
适用场景 适用于 Kubernetes 集群中工作负载的安全加固、RBAC 权限收敛、网络访问控制、密钥外置管理、资源配额治理、镜像来源与标签规范，以及命名空间级别的 Pod 安全标准落地和安全扫描流程。
限制 资料未提供该技能的安装方式、依赖环境、版本要求、收费信息或具体平台支持范围，这些内容暂未提供。示例中的命名空间、标签、镜像名称与端口等均为演示值，实际使用时需要根据自身环境调整。