`system:masters` グループに属するクライアント証明書を作成することは推奨されない。その理由はどれか。

AppArmorプロファイルを適用するためにPodのアノテーション `container.apparmor.security.beta.kubernetes.io/<container_name>` に指定する値として、`unconfined` は何を意味するか。