Skills Directory精选自 GitHub 的开源 Skills
中文

k8s-security-policiescommit 47a5dbcSKILL.md · 安全加固

K8s 安全策略

用 NetworkPolicy、Pod 安全标准、RBAC、OPA Gatekeeper 和 Istio mTLS 为集群实施纵深防御。

排查命令需要拥有可访问目标集群的 kubectl 凭据。

npx skills add wshobson/agents --skill k8s-security-policies
权限
  • read-repo
  • write-files
  • shell
  • network
兼容工具
Claude Code, Codex, Cursor, Copilot, OpenCode
GitHub
42.1k
来源
社区 · Seth Hobson
状态
扫描通过
许可证
MIT
分类
安全加固
代码仓库
github.com/wshobson/agents/plugins/kubernetes-operations/skills/k8s-security-policies

核心规则

对所有服务账户应用最小权限 RBAC，并与 Pod 安全标准和网络策略叠加形成纵深防御。

执行阶段

  1. 阶段 01设置 Pod 安全标准

    通过命名空间标签设定 privileged、baseline 或 restricted 的 enforce/audit/warn 级别。

  2. 阶段 02配置网络策略

    先对入站和出站默认拒绝，再按需放行前端到后端、DNS 等特定流量。

  3. 阶段 03最小权限 RBAC

    定义只含必要动词的 Role/ClusterRole，并通过 RoleBinding 绑定到用户和服务账户。

  4. 阶段 04加固 Pod 与准入

    以非 root 运行、只读根文件系统并丢弃全部 capability；用 OPA Gatekeeper 强制规则，用 Istio 开启 mTLS 和授权策略。

  5. 阶段 05排查问题

    NetworkPolicy 不生效时检查 CNI 支持并 describe 策略；权限被拒时用 kubectl auth can-i 检查实际权限。

权限说明（据 SKILL.md 整理）

能力是否需要说明
文件写入需要编写 NetworkPolicy、RBAC、Pod 安全上下文、Gatekeeper 和 Istio 等 YAML 清单。
命令执行部分需要仅在排查时使用 kubectl get、describe 和 auth can-i 等诊断命令。
网络外发部分需要仅通过 kubectl 访问目标 Kubernetes 集群的 API。

SKILL.md 头部信息（YAML）

SKILL.md 头部信息（YAML）commit 47a5dbc
---
name: k8s-security-policies
description: Implement Kubernetes security policies including NetworkPolicy, PodSecurityPolicy, and RBAC for production-grade security. Use when securing Kubernetes clusters, implementing network isolation, or enforcing pod security standards.
---

相关技能

规则扫描无法覆盖所有风险，安装前请阅读此技能的 SKILL.md，确认权限后再使用。
Markdown 版本 GitHub