4、多租户场景下的 Quota 设计：Namespace 隔离、团队级 Quota、环境级 Quota（dev/staging/prod）

在多租户 Kubernetes 集群中，Resource Quota 的设计不能仅停留在单层 Namespace 维度。随着组织规模扩大，团队数量增加以及开发/测试/生产环境的严格隔离需求，Quota 必须形成分层结构，才能实现成本归属清晰、资源争抢可控、运维策略差异化。

4.1 三层 Quota 模型概述

推荐将 Quota 划分为三个层级：Namespace 隔离层（基础单元）、团队级 Quota 层（聚合管控）、环境级 Quota 层（生命周期策略）。三层之间通过标签继承、配额聚合和告警联动形成完整体系。

4.2 Namespace 隔离层：最小配额单元

Namespace 是 Kubernetes 资源隔离的基本单位。每个 Namespace 独立设置 ResourceQuota 对象，控制该空间内所有 Pod、Service、PVC 等资源的聚合上限。

4.3 团队级 Quota：跨 Namespace 聚合管控

一个团队通常拥有多个 Namespace（如前端、后端、数据管道）。团队级 Quota 通过 ClusterResourceQuota（OpenShift 原生）或 自定义控制器 + 标签选择器 实现跨 Namespace 聚合。

实现方式对比

4.4 环境级 Quota：生命周期与策略差异化

dev、staging、prod 三个环境对资源弹性、预留比例、告警阈值的要求截然不同。环境级 Quota 通过 集群维度硬限制 和 环境标签 实现全局管控。

环境级 Quota 策略矩阵

4.5 分层 Quota 的 YAML 配置示例

以下展示一个完整的团队级 Quota 配置，通过标签选择器将多个 Namespace 聚合到同一团队下。

# 1. 为每个 Namespace 设置基础 Quota
apiVersion: v1
kind: ResourceQuota
metadata:
  name: team-a-frontend-quota
  namespace: team-a-frontend
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    persistentvolumeclaims: "10"
---
# 2. 团队级聚合 Quota（使用 ClusterResourceQuota，OpenShift 专用）
apiVersion: quota.openshift.io/v1
kind: ClusterResourceQuota
metadata:
  name: team-a-total-quota
spec:
  quota:
    hard:
      requests.cpu: "20"
      requests.memory: "40Gi"
      limits.cpu: "40"
      limits.memory: "80Gi"
  selector:
    annotations:
      openshift.io/requester: team-a
---
# 3. 环境级全局限制（通过 Admission Webhook 或策略引擎实现）
# 以下为 Kyverno 策略示例：限制 prod 环境 Namespace 的 CPU 请求总和不超过 50 核
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: prod-cpu-limit
spec:
  rules:
  - name: check-prod-cpu
    match:
      resources:
        kinds:
        - Namespace
        selector:
          matchLabels:
            environment: prod
    validate:
      message: "prod 环境所有 Namespace 的 CPU 请求总和不得超过 50 核"
      deny:
        conditions:
          all:
          - key: "{{ sum(request.object.spec.hard['requests.cpu']) }}"
            operator: GreaterThan
            value: "50"

4.6 分层 Quota 的告警联动设计

告警必须与分层结构对齐，避免告警风暴。推荐采用逐层收敛策略：

1. Namespace 层告警：当单个 Namespace 使用率 ≥ 85% 时，触发 Warning 级别告警，通知该 Namespace 负责人。
2. 团队层告警：当团队聚合使用率 ≥ 80% 时，触发 Critical 级别告警，通知团队 Leader。
3. 环境层告警：当环境级 Quota 使用率 ≥ 70% 时，触发紧急告警，通知 SRE 团队介入。

4.7 成本分摊与 Quota 的映射关系

分层 Quota 为成本分摊提供了天然的数据边界：