2. Kubernetes 原生多租户模型：Namespace隔离、RBAC权限控制、ResourceQuota与LimitRange

Kubernetes 原生多租户模型不依赖第三方插件，而是通过四个核心原语构建：Namespace（资源隔离边界）、RBAC（身份与权限）、ResourceQuota（总量硬约束）和 LimitRange（单 Pod 软约束）。这四个组件组合使用，可以在一个集群内实现安全、可控的多租户环境。

2.1 四层隔离模型总览

下表总结了每个原语在租户隔离中的角色与生效范围：

2.2 Namespace：资源隔离的边界

Namespace 是 Kubernetes 多租户的第一道防线。它将集群内的资源（Pod、Service、ConfigMap、Secret 等）划分为逻辑组，每个租户拥有独立的命名空间。

• DNS 隔离：Service 在命名空间内通过 svc-name.namespace-name.svc.cluster.local 访问，跨命名空间需显式指定。
• 资源对象隔离：Pod、Deployment、Service 等资源在命名空间内唯一，不同命名空间可同名。
• 网络策略配合：Namespace 本身不提供网络隔离，需配合 NetworkPolicy 实现南北向与东西向流量控制。

# 创建租户命名空间
kubectl create namespace tenant-alpha

# 查看命名空间内的资源隔离效果
kubectl get pods -n tenant-alpha
kubectl get pods -n tenant-beta   # 两个命名空间互不可见

2.3 RBAC：细粒度的权限控制

RBAC 通过 Role（命名空间级）和 ClusterRole（集群级）定义权限集合，再通过 RoleBinding 和 ClusterRoleBinding 将权限绑定到用户、组或 ServiceAccount。

# 创建租户只读 Role
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: tenant-alpha
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods", "pods/log"]
  verbs: ["get", "list", "watch"]
---
# 绑定给用户 alice
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: tenant-alpha
  name: alice-pod-reader
subjects:
- kind: User
  name: alice
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

2.4 ResourceQuota：命名空间资源硬约束

ResourceQuota 为命名空间设置资源使用上限，防止单个租户耗尽集群资源。支持对 CPU、内存、存储、PVC 数量、Service 数量等 20+ 种资源进行限制。

# 为 tenant-alpha 设置资源配额
apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-quota
  namespace: tenant-alpha
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    persistentvolumeclaims: "5"
    pods: "20"
    services: "10"
    configmaps: "10"

当命名空间内资源使用达到配额上限时，Kubernetes API Server 会拒绝后续创建请求，并返回 403 Forbidden 错误。

2.5 LimitRange：单 Pod 资源行为约束

LimitRange 在命名空间级别设置 Pod 和 Container 的默认资源请求/限制，以及最小/最大值。它确保租户内的每个工作负载都遵循合理的资源规格，避免单个 Pod 因未设置资源限制而抢占所有节点资源。

# 为 tenant-alpha 设置默认资源限制
apiVersion: v1
kind: LimitRange
metadata:
  name: tenant-limits
  namespace: tenant-alpha
spec:
  limits:
  - max:
      cpu: "2"
      memory: "4Gi"
    min:
      cpu: "100m"
      memory: "128Mi"
    default:
      cpu: "500m"
      memory: "1Gi"
    defaultRequest:
      cpu: "200m"
      memory: "512Mi"
    type: Container

2.6 四层模型协同工作流程

下图展示了当租户用户向 API Server 提交 Pod 创建请求时，四个原语的协同校验顺序：

2.7 多租户配置最佳实践清单

1. 命名空间命名规范：使用 tenant-{name} 或 {env}-{team} 格式，便于 RBAC 策略批量匹配。
2. RBAC 最小权限：每个租户只授予其命名空间内的必要操作权限，避免使用 cluster-admin 或 * 通配符。
3. ResourceQuota 预留缓冲：配额上限设置为集群容量的 70%~80%，为系统组件和突发流量留出余量。
4. LimitRange 默认值：始终为每个命名空间配置 LimitRange，防止未设置资源限制的 Pod 导致节点过载。
5. 定期审计：使用 kubectl describe quota -n {ns} 和 kubectl describe limitrange -n {ns} 监控资源使用情况。