用途：该技能是 $ctf-sandbox-orchestrator 的下游专门化能力，只在上级流程已激活并建立沙箱假设、节点归属与证据优先级后使用；若尚未完成，应先回到 $ctf-sandbox-orchestrator。适用于决胜路径依赖 Kubernetes 控制平面状态、API 权限或控制器行为，而非仅单个容器运行时的场景。默认用简体中文回复，除非用户明确要求英文。
主要能力：区分清单意图与实时集群状态，包括 API 对象、变更、控制器、密钥及最终工作负载；先识别活动主体，如服务账户、kubeconfig 身份、节点凭据、webhook 或控制器；把最小控制平面边映射到其工作负载效果；以紧凑证据块保留 RBAC、服务账户、owner 引用、命名空间边界与密钥消费者；复现能产生决定性工作负载或密钥效果的最小集群动作。
使用方式：流程分三步。第一，映射 API 信任路径，记录命名空间、服务账户、Role、ClusterRole、绑定、准入钩子、控制器及其可变更资源，区分读、创建、补丁、exec 与密钥访问，把主体、动词、资源、命名空间与结果对象串成一条链。第二，追踪变更到工作负载状态，展示 API 动作如何变成 Pod、卷挂载、密钥暴露、环境变量注入、Job 运行或控制器创建的产物，比较签入 YAML 与经默认化、准入变更或控制器协调后的实时对象，区分 Pod 运行时行为与集群级变更逻辑。第三，归约到决定性集群路径，压缩为主体 -> API 权限 -> 被变更对象 -> 产生的工作负载、密钥或路由效果，保持 kube 对象、实时 describe 与消费的密钥或配置路径绑定同一命名空间和控制器；若问题缩小到单容器挂载或运行时偏差，则切回更紧的容器运行时技能。
参考与限制：可加载 references/k8s-control-plane.md 获取 RBAC 清单、控制器清单与证据打包方式；若难点是元数据服务可达性、工作负载身份、实例凭据或元数据派生权限，优先使用 $competition-cloud-metadata-path。需保留命名空间、服务账户、动词、资源类型、RoleBinding 或 ClusterRoleBinding、owner 引用链，准入变更、生成的工作负载、挂载密钥与控制器产生的漂移，以及产生决定性效果的确切 API 动作或对象差异。