用途：为 Kubernetes 集群实施纵深防御，涉及网络策略、Pod 安全标准与 RBAC。
主要能力：提供 Pod Security Standards（privileged/baseline/restricted）的命名空间标签配置；NetworkPolicy 示例（默认拒绝全部、前后端放行、放行 DNS）；RBAC 的 Role、ClusterRole、RoleBinding 配置；受限 Pod 的 securityContext；OPA Gatekeeper 的 ConstraintTemplate 与 Constraint；Istio 的 PeerAuthentication（mTLS）与 AuthorizationPolicy。
使用方式：以 YAML 清单声明策略并应用；排查时可用 kubectl get nodes -o wide 检查 CNI 是否支持 NetworkPolicy，用 kubectl describe networkpolicy <name> 查看策略，用 kubectl auth can-i list pods --as system:serviceaccount:default:my-sa 等命令检查实际权限。
适用场景：网络分段、命名空间级安全标准、最小权限 RBAC、合规（如 CIS、NIST）、多租户集群加固。
限制：资料未提供具体安装命令、收费与版本要求；效果取决于 CNI 与是否部署 Gatekeeper/Istio 等组件。