k8s 安全管理
request 是1g，你得不到要求，我就不创建了，这就是准入控制二次校验
SA就是serviceAccount。 内部是SA和 token, 外部用户进来就是 .kube/config文件
namespace下的是role，整个集群是 ClusterRole. 动作就是Binding
limitRanger就是满足要求就让你创建，不满足要求就不让你创建，ResourceQuota资源配额。PodSecurityPolicy让我们超越pod的限制，进行一些宿主机级别的操作
SA 服务账号
集群内部使用 namespace级别的