SobesLab логотип SobesLab

Ответ

Включаем RBAC (разграничиваем права пользователей/сервисов), внедряем OPA/Gatekeeper для декларативных политик (например, запрещаем привилегированные контейнеры). Используем Admission Controllers для валидации/мутирования манифестов при развёртывании (добавление securityContext). Шифруем секреты (KMS) и хранение etcd, настраиваем NetworkPolicy для ограничения трафика.