Kubernetes 命令行登录宜使用公共 OIDC 客户端 RSS

以 PKCE 保护授权码交换，避免向每台机器分发共享客户端密钥，再将身份提供方的用户组映射到 RBAC 权限。