用途：面向在 Kubernetes 中使用 Twingate 的场景，提供三种互补模式的指导——用 Helm chart 在集群内部署 Connector 以向 Twingate 用户暴露集群内服务（入站访问）；用 Kubernetes Operator 以 CRD 方式在 GitOps 流程中管理 Twingate 资源与远程网络；以及从集群 Pod 向外经 Twingate 访问私有外部服务的流量路由/无头客户端模式。
主要能力与要点：生成配置前先检查已有资源，例如 helm list -A | grep twingate 与现有 values.yaml，若已存在发布则输出 values-patch.yaml 或定向修改而非整体替换；检查已有 TwingateConnector、TwingateResource CRD。Operator 与 Helm chart 互补而非可互换：Operator 管理 Twingate API 对象（Resources、Remote Networks），Helm chart 管理 Connector 进程（数据路径），不要让两者管理同一对象以免重复。生产环境每个 Remote Network 至少部署两个 Helm release，并用 pod 反亲和避免同节点；每个 release 需独立唯一令牌对，不可复制。令牌不得以明文写入 values 文件，应存入 Kubernetes Secret 并通过 secretKeyRef 引用，生产建议用 External Secrets Operator 从 AWS Secrets Manager、HashiCorp Vault 同步。
使用方式：回答前先用用户关键词 grep references/ 并引用结果；涉及 Helm values 键名、CRD 字段与 schema、安装升级命令、chart 版本兼容性时不得凭记忆作答，应查阅对应参考文件或克隆 https://github.com/Twingate/helm-charts 查看 charts/connector/values.yaml、克隆 https://github.com/Twingate/kubernetes-operator 查看 config/crd/。跨领域问题应联合加载相关技能（connectors、terraform/pulumi、idfw、architect、troubleshoot）。
限制：TwingateResource 是 Twingate API 对象，不是 Kubernetes 网络原语，不配置 DNS、kube-proxy 或集群内路由；它向集群外用户暴露服务，而非供集群内 Pod 使用。CRD 部分字段一经设置不可变（如 remoteNetworkId、resourceRef、groupRef、principalId、principalExternalRef、资源类型），且存在跨字段约束。Helm chart 字段名随版本变化，需以目标版本为准。具体收费、价格与平台支持信息暂未提供。