用途：本技能仅作为 $ctf-sandbox-orchestrator 的下游专项使用，前提是后者已激活并确立沙箱假设、节点归属与证据优先级；否则应先回到 $ctf-sandbox-orchestrator。当关键路径依赖 Kubernetes 控制平面状态、API 权限或控制器行为，而非单个容器的运行时，才使用本技能。除用户明确要求英文外，用简体中文回复。
主要能力：区分清单意图与集群实时状态（API 对象、变更、控制器、Secret 及产生的工作负载）；先识别活动主体（ServiceAccount、kubeconfig 身份、节点凭据、webhook 或控制器）；把最小的控制平面边界映射到其工作负载效果；以紧凑证据块保留 RBAC、ServiceAccount、owner reference、命名空间边界与 Secret 消费方；复现产生决定性工作负载或 Secret 效果的最小集群动作。
使用方式：一、映射 API 信任路径，记录命名空间、ServiceAccount、Role、ClusterRole、绑定、准入库与控制器及其可变更资源，区分读、创建、patch、exec 与 Secret 访问，将主体、动词、资源、命名空间与结果对象串成链。二、追踪变更到工作负载状态，展示 API 动作如何变成 Pod、卷挂载、Secret 暴露、环境变量注入、任务运行或控制器产物，对比签入 YAML 与实时对象。三、归约到决定性集群路径，压缩为 主体->API 权限->被变更对象->工作负载/Secret/路由效果 的最小链，并保持与同一命名空间和控制器关联。若问题缩小为单容器挂载或运行时偏差，应切回更紧的容器运行时技能。可加载 references/k8s-control-plane.md 获取 RBAC 清单、控制器清单与证据打包。若难点在元数据服务可达性、工作负载身份、实例凭据或元数据派生权限，应优先使用 $competition-cloud-metadata-path。
需保留：命名空间、ServiceAccount、动词、资源类型、RoleBinding 或 ClusterRoleBinding、owner reference 链；准入变更、生成的工作负载、挂载的 Secret 与控制器产生的漂移；产生决定性效果的确切 API 动作或对象差异。
限制：资料未提供具体安装命令、价格、平台或其他集成细节，暂未提供。