B.5 — Pod Security (o hardening do pod) — liga ao Ex. 57

O baseline seguro para um pod (padrão "restricted"):

• runAsNonRoot: true, runAsUser não-root;
• readOnlyRootFilesystem: true;
• allowPrivilegeEscalation: false;
• capabilities: { drop: [ALL] };
• nunca privileged: true nem montar hostPath do host sem necessidade.