4、多租户基础：Kubernetes多租户模型（Namespace、RBAC、NetworkPolicy）与Cluster API的映射关系

在构建多租户控制面架构时，Kubernetes 原生的多租户模型是隔离的基石。本章将深入剖析 Namespace、RBAC、NetworkPolicy 三大核心组件，并建立它们与 Cluster API 资源（Cluster、ClusterResourceSet、MachineDeployment）之间的精确映射关系。

4.1 Kubernetes 多租户三大支柱

Kubernetes 本身并未提供“租户”这一原生 API 对象，而是通过以下三种机制的组合来实现多租户隔离：

4.2 Namespace：租户的逻辑边界

在 Cluster API 驱动的控制面架构中，Namespace 的映射关系分为两个层面：

• 管理集群（Management Cluster）层面： 每个租户的工作负载集群（Workload Cluster）对应一个独立的 Namespace。该 Namespace 内包含该集群的所有 Cluster API 资源对象（Cluster、Machine、KubeadmControlPlane 等）。
• 工作负载集群（Workload Cluster）层面： 每个工作负载集群内部，租户的应用部署在各自的 Namespace 中，通过 ResourceQuota 和 LimitRange 进行资源限制。

4.3 RBAC：租户的权限门禁

RBAC 在 Cluster API 多租户架构中承担双重角色：

1. 管理集群 RBAC： 控制租户管理员对自身 Cluster API 资源的操作权限（如创建/删除 MachineDeployment、读取 Cluster 状态）。
2. 工作负载集群 RBAC： 通过 ClusterResourceSet 或直接在工作负载集群上配置 RBAC，控制租户内部用户的访问权限。

典型的 RBAC 映射关系如下表：

4.4 NetworkPolicy：租户的网络围栏

NetworkPolicy 是实现租户网络隔离的关键。在 Cluster API 架构中，NetworkPolicy 的配置通过 ClusterResourceSet 机制自动注入到工作负载集群中。

典型的租户网络隔离策略包括：

• 默认拒绝所有入站流量： 防止跨租户的意外访问。
• 允许同 Namespace 内通信： 保障租户内部服务正常调用。
• 允许特定监控/日志系统的入站流量： 通过标签选择器开放必要的管理端口。
• 拒绝所有出站流量到其他租户的 Namespace： 防止数据泄露。

4.5 映射关系总览：Cluster API 资源 ↔ 多租户模型

下面的 SVG 图展示了 Cluster API 核心资源与 Kubernetes 多租户模型之间的完整映射关系：

4.6 实践映射：ClusterResourceSet 注入多租户配置

ClusterResourceSet 是 Cluster API 提供的配置注入机制，它允许平台团队在创建工作负载集群时，自动应用一组 Kubernetes 资源。对于多租户网络隔离，这是最关键的映射点。

以下是一个通过 ClusterResourceSet 注入 NetworkPolicy 和 RBAC 的示例：

apiVersion: addons.cluster.x-k8s.io/v1beta1
kind: ClusterResourceSet
metadata:
  name: tenant-network-isolation
  namespace: tenant-alpha
spec:
  clusterSelector:
    matchLabels:
      tenant: alpha
  resources:
    - name: default-deny-ingress
      kind: ConfigMap
    - name: allow-same-namespace
      kind: ConfigMap
    - name: tenant-admin-rbac
      kind: ConfigMap
  strategy: ApplyOnce
---
apiVersion: v1
kind: ConfigMap
metadata:
  name: default-deny-ingress
  namespace: tenant-alpha
data:
  policy.yaml: |
    apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: default-deny-ingress
      namespace: tenant-alpha-apps
    spec:
      podSelector: {}
      policyTypes:
        - Ingress
---
apiVersion: v1
kind: ConfigMap
metadata:
  name: allow-same-namespace
  namespace: tenant-alpha
data:
  policy.yaml: |
    apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: allow-same-namespace
      namespace: tenant-alpha-apps
    spec:
      podSelector: {}
      ingress:
        - from:
            - namespaceSelector:
                matchLabels:
                  kubernetes.io/metadata.name: tenant-alpha-apps
      policyTypes:
        - Ingress

4.7 隔离模型对比：软隔离 vs 硬隔离

在 Cluster API 多租户架构中，需要根据安全需求选择隔离模型：