3、多租户模型基础：命名空间、RBAC、NetworkPolicy、ResourceQuota

多租户隔离是 Kubernetes 平台控制面实现 API 限流与队列隔离的前提。本章聚焦四个核心原语：命名空间（Namespace）作为租户边界、RBAC 作为权限墙、NetworkPolicy 作为网络微隔离、ResourceQuota 作为资源硬约束。这四个原语共同构成多租户模型的“四梁八柱”。

3.1 命名空间：租户的逻辑边界

命名空间是 Kubernetes 中实现多租户隔离的第一层抽象。每个命名空间相当于一个虚拟集群，内部的对象名称天然隔离，且可以独立设置资源配额与访问策略。

3.2 RBAC：细粒度的权限墙

RBAC（基于角色的访问控制）是 Kubernetes 默认的授权机制。在多租户场景下，RBAC 决定了“谁能在哪个命名空间做什么”。核心组件包括：

• Subject：用户、组或 ServiceAccount。
• Role / ClusterRole：定义一组权限规则（verbs + resources）。
• RoleBinding / ClusterRoleBinding：将 Subject 与 Role 绑定。

# 示例：为租户管理员创建命名空间级 Role
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: fintech-prod
  name: tenant-admin
rules:
- apiGroups: [""]
  resources: ["pods", "services", "configmaps"]
  verbs: ["get", "list", "watch", "create", "update", "delete"]
- apiGroups: ["apps"]
  resources: ["deployments", "statefulsets"]
  verbs: ["get", "list", "watch", "create", "update", "delete"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: fintech-prod
  name: tenant-admin-binding
subjects:
- kind: ServiceAccount
  name: fintech-sa
  namespace: fintech-prod
roleRef:
  kind: Role
  name: tenant-admin
  apiGroup: rbac.authorization.k8s.io

3.3 NetworkPolicy：网络微隔离

默认情况下，Kubernetes 集群内所有 Pod 可以互相通信。多租户场景必须打破这一默认行为，NetworkPolicy 正是实现 Pod 级网络隔离的标准方式。

关键设计原则：

• 默认拒绝入站：只允许显式声明的入站流量。
• 默认拒绝出站：只允许显式声明的出站流量。
• 命名空间级隔离：通过 namespaceSelector 控制跨命名空间访问。
• Pod 级隔离：通过 podSelector 控制同一命名空间内的访问。

# 示例：拒绝所有非本命名空间的入站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-ns-ingress
  namespace: fintech-prod
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: fintech-prod

3.4 ResourceQuota：资源硬约束

ResourceQuota 是防止租户资源滥用、保障平台稳定性的关键机制。它作用于命名空间级别，可以限制以下维度：

# 示例：为租户命名空间设置资源配额
apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-quota
  namespace: fintech-prod
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    pods: "20"
    services: "10"
    persistentvolumeclaims: "5"
    requests.storage: "100Gi"

3.5 多租户模型架构总览

下图展示了四个原语在多租户模型中的协作关系：命名空间作为租户边界，RBAC 控制用户权限，NetworkPolicy 实现网络隔离，ResourceQuota 约束资源使用。

3.6 多租户隔离策略对比