决定每个 Pod 运行在哪个节点上。

将容器镜像层存储在 Kubernetes API 中。

自动加密所有密码和凭据。

将非敏感配置数据与容器镜像和应用代码分离。