RBACの `bind` 権限を持つユーザーが、`cluster-admin` ロールを自分自身にバインドできないようにするための制約は何か。

コンテナイメージのビルド時に `npm install` などを実行する際、ロックファイル（package-lock.json, yarn.lock）を使用しない場合のリスクはどれか。