fix(content): harden Docker practice guide

16_cloud/16.2_tencentCloud.md

@@ -136,7 +136,17 @@ docker push ccr.ccs.tencentyun.com/my-namespace/my-app:v1.0
 
 #### TKE 集群中使用 TCR 镜像
 
-配置镜像拉取凭证后，在 Deployment 中直接引用 TCR 镜像：
+配置镜像拉取凭证后，在 Deployment 中直接引用 TCR 镜像。Secret 必须创建在使用它的 namespace 中；下面示例使用 `default` namespace。
+
+```bash
+$ kubectl create secret docker-registry tcr-secret \
+    --docker-server=ccr.ccs.tencentyun.com \
+    --docker-username=<username> \
+    --docker-password=<token-or-password> \
+    --namespace=default
+```
+
+> 安全提示：在命令行直接输入密码或 token 可能进入 shell 历史记录。生产环境可先 `docker login`，再基于受保护的 `~/.docker/config.json` 创建 `kubernetes.io/dockerconfigjson` Secret，或使用云厂商提供的托管凭据集成。
 
 ```yaml
 apiVersion: apps/v1