3. 多租户隔离模型总览：软隔离 vs 硬隔离、共享集群 vs 专用集群、隔离层级

多租户隔离是 Kubernetes 集群架构设计的核心挑战。不同的隔离模型决定了租户之间的信任边界、资源保障程度以及运维复杂度。本章从三个维度系统梳理隔离模型：隔离强度（软隔离 vs 硬隔离）、集群归属（共享集群 vs 专用集群）、隔离层级（网络/计算/存储/身份）。

3.1 软隔离（Namespace-based） vs 硬隔离（Cluster-based）

隔离强度是选择多租户方案的首要决策点。Kubernetes 原生提供基于 Namespace 的逻辑隔离（软隔离），而硬隔离则需要通过独立集群或虚拟化节点实现。

3.2 共享集群 vs 专用集群

集群归属模型决定了资源池的共享程度。共享集群强调资源利用率，专用集群强调隔离性和可预测性。

• 共享集群（Shared Cluster）： 多个租户共用同一集群的控制平面和工作节点。通过 Namespace、RBAC、NetworkPolicy 实现逻辑隔离。资源利用率高，但存在“吵闹邻居”问题和控制平面爆炸半径风险。
• 专用集群（Dedicated Cluster）： 每个租户拥有独立的 Kubernetes 集群。控制平面和数据平面完全隔离，安全性和性能可预测性最强。但集群数量随租户线性增长，运维复杂度急剧上升。
• 分区共享集群（Partitioned Shared Cluster）： 共享控制平面，但租户绑定到专用节点池（Node Pool）。通过节点亲和性、Taint/Toleration 实现计算资源硬隔离，网络和存储仍可共享。这是软硬隔离的折中方案。

3.3 隔离层级：网络 / 计算 / 存储 / 身份

多租户隔离需要在四个核心层级分别实施策略。每个层级的隔离机制和强度不同，需要组合使用才能构建完整的隔离防线。

3.3.1 网络隔离

• NetworkPolicy： Kubernetes 原生网络隔离，基于标签选择器控制 Pod 间流量。支持入站（Ingress）和出站（Egress）规则。
• CNI 插件级隔离： Calico、Cilium 等 CNI 插件提供更细粒度的网络策略，支持基于身份（ServiceAccount）的隔离、DNS 策略、L7 策略。
• Service Mesh 隔离： Istio/Linkerd 通过 Sidecar 代理实现应用层流量管控，支持 mTLS 加密和细粒度鉴权。
• 节点级网络隔离： 通过 VPC 子网、安全组、节点网络策略实现跨租户网络硬隔离。

3.3.2 计算隔离

• ResourceQuota： 限制 Namespace 级别的 CPU/内存总量，防止单个租户耗尽集群资源。
• LimitRange： 设置 Pod 和容器的默认资源请求/限制，避免未设置资源限制的 Pod 影响其他租户。
• 节点亲和性与 Taint/Toleration： 将租户工作负载绑定到特定节点池，实现计算资源物理隔离。
• RuntimeClass： 通过 gVisor、Kata Containers 等沙箱运行时提供虚拟机级别的安全隔离。

3.3.3 存储隔离

• PVC 命名空间隔离： PersistentVolumeClaim 是命名空间级别的资源，默认只能被同 Namespace 的 Pod 访问。
• StorageClass 限制： 通过 StorageClass 的 allowedTopologies 和 mountOptions 控制存储访问范围。
• CSI 卷级加密： 使用 CSI 驱动提供的卷加密功能，确保不同租户的数据在存储后端不可互读。
• NFS/共享存储隔离： 通过子目录权限、导出策略（export policy）实现租户间存储路径隔离。

3.3.4 身份隔离

• RBAC： 基于 Role/ClusterRole 和 RoleBinding/ClusterRoleBinding 控制用户或 ServiceAccount 对 API 资源的访问权限。
• ServiceAccount 隔离： 每个租户使用独立的 ServiceAccount，配合 Pod 安全策略（PSA/PSS）限制 Pod 行为。
• OIDC 与联邦身份： 集成企业 IdP（如 LDAP、Okta），通过用户组映射到 Kubernetes RBAC 角色。
• 审计日志隔离： 确保审计日志按租户维度归档，满足合规审计要求。

3.4 隔离模型组合策略

实际生产环境中，通常根据租户信任等级和业务需求组合使用上述隔离模型。以下是一个典型的分级隔离策略示例：