4. 租户命名空间策略：命名空间命名规范、标签体系设计、基于标签的租户归属识别、资源配额管理

在多租户 Kubernetes 集群中，命名空间（Namespace）是租户隔离的第一道物理边界。然而，仅靠命名空间本身无法支撑大规模、动态的租户管理。必须建立一套从命名规范、标签体系到配额管控的完整策略，才能让集群运维人员快速识别租户归属、实施批量策略并防止资源争抢。

4.1 命名空间命名规范

命名空间的名称是租户在集群中的唯一标识符。建议采用三段式或四段式结构，确保名称具备自解释性且便于脚本解析。

4.2 标签体系设计

标签（Label）是 Kubernetes 原生的关联机制。通过统一的标签体系，可以将命名空间、Pod、Service 等资源与租户身份绑定，为后续的网络策略、监控告警、成本分摊提供数据基础。

4.2.1 核心标签定义

4.2.2 标签继承与自动化

建议在集群初始化阶段，通过 Namespace 准入控制器（Admission Webhook） 自动为新建命名空间注入上述标签。例如，当用户创建 prod-fin-api 命名空间时，Webhook 自动添加：

metadata:
  labels:
    tenant.id: "fin-001"
    tenant.name: "financial"
    tenant.environment: "prod"
    tenant.tier: "gold"

4.3 基于标签的租户归属识别

有了统一的标签体系，Cilium 网络策略、监控系统、成本分析工具都可以通过标签选择器（Label Selector）快速识别租户归属。下图展示了从命名空间标签到策略匹配的完整链路。

4.4 资源配额管理

资源配额（ResourceQuota）是防止租户资源滥用、保障集群稳定性的关键手段。结合标签体系，可以实现按租户等级差异化分配。

4.4.1 配额模板设计

4.4.2 自动化配额注入

通过 Kyverno 策略，根据命名空间的 tenant.tier 标签自动创建对应的 ResourceQuota 对象：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: auto-resourcequota
spec:
  rules:
  - name: inject-quota
    match:
      resources:
        kinds:
        - Namespace
    preconditions:
      any:
      - key: "{{ request.object.metadata.labels.\"tenant.tier\" }}"
        operator: Equals
        value: "gold"
    generate:
      kind: ResourceQuota
      name: tenant-quota
      namespace: "{{ request.object.metadata.name }}"
      synchronize: true
      data:
        spec:
          hard:
            limits.cpu: "32"
            limits.memory: "128Gi"
            pods: "200"
            persistentvolumeclaims: "50"

4.5 策略实施检查清单

• 命名规范：统一使用 {env}-{tenant}-{domain} 格式，禁止随意命名。
• 标签强制：通过准入控制器确保每个命名空间都包含 tenant.id、tenant.name、tenant.environment 标签。
• 配额差异化：根据 tenant.tier 标签自动生成不同规格的 ResourceQuota。
• 策略匹配：Cilium 网络策略使用 tenant.id 标签选择器，避免硬编码命名空间名称。
• 审计与监控：定期扫描命名空间标签完整性，缺失标签的命名空间应触发告警。