区分平台控制与租户访问
多租户 KubeVirt 运营不能只依赖 Kubernetes 权限。平台团队需要全局控制，应用团队则需要被限制在自己拥有的 VM、服务、系统、命名空间和环境范围内。
双层 RBAC
Shepherd 将平台级 RBAC 与应用所有权、环境作用域结合起来。目标是让日常访问对用户可理解，同时让管理能力保持显式受控。
- 平台角色控制全局能力。
- System 与 Service 成员关系限定受管资源访问。
- 环境感知绑定帮助区分生产与非生产责任。
共享环境中的审计追踪
当多个团队共享 KubeVirt 基础设施时，审计历史本身就是运维数据。Shepherd 记录谁申请、谁审批、谁执行了变更，避免复盘依赖零散聊天记录或 shell 历史。