1. 多租户概念与背景
1.1 什么是多租户
多租户（Multi-Tenancy）是一种软件架构模式，指单个软件实例能够同时为多个独立的用户群体（即“租户”）提供服务，且每个租户在逻辑上彼此隔离。在云原生语境下，租户可以是一个团队、一个项目、一个业务线，甚至是一个外部客户。
核心定义：多租户 = 共享基础设施 + 逻辑隔离 + 租户自治。
与“单租户”模式相比，多租户的核心差异在于资源复用程度与隔离粒度：
| 对比维度 | 单租户架构 | 多租户架构 |
|---|---|---|
| 实例数量 | 每个租户独立部署一套实例 | 所有租户共享一套实例 |
| 资源利用率 | 低，存在大量空闲资源 | 高，通过复用降低总成本 |
| 运维复杂度 | 随租户数量线性增长 | 集中运维，复杂度可控 |
| 隔离强度 | 物理/虚拟机级强隔离 | 逻辑/命名空间级隔离 |
| 适用场景 | 高安全合规、定制化需求 | SaaS、内部平台、开发测试环境 |
1.2 为什么需要多租户隔离
在云原生集群中，如果没有多租户隔离，多个团队或应用共享同一集群时，会面临以下严重问题：
- 安全风险：恶意或受损的Pod可以访问其他租户的Secret、ConfigMap，甚至通过节点逃逸攻击整个集群。
- 资源争抢：一个租户的突发流量可能耗尽集群CPU/内存，导致其他租户的服务被OOM Kill或Pending。
- 噪声干扰：租户A的日志、监控指标、告警与租户B混杂，排障时难以区分责任边界。
- 配额失控：缺乏上限约束时，单个租户可能创建数千个Pod，导致API Server过载或etcd容量爆炸。
- 合规审计缺失：金融、医疗等场景要求租户间操作日志严格隔离，共享集群无法满足审计要求。
关键认知：多租户隔离不是“可选项”，而是生产级共享集群的必选项。没有隔离的共享集群，本质上是一个“无墙的公共空间”。
下图展示了多租户隔离在云原生集群中的核心位置——它位于共享基础设施层与租户应用层之间，承担着资源隔离、安全防护、策略管控三大职责：
1.3 多租户在云原生中的价值
在Kubernetes生态中，多租户隔离带来的价值可以归纳为以下四个维度：
| 价值维度 | 具体收益 | 典型场景 |
|---|---|---|
| 成本优化 | 集群资源利用率从20%提升至60%~80%，减少基础设施支出 | 开发/测试环境合并、内部PaaS平台 |
| 运维效率 | 统一管理集群升级、监控、日志，无需为每个租户单独运维 | SaaS平台、多团队共享集群 |
| 安全合规 | 租户间网络隔离、权限最小化、审计日志独立归档 | 金融、医疗、政府行业 |
| 交付速度 | 租户自助创建命名空间、部署应用，无需等待平台团队介入 | DevOps自助平台、内部开发者门户 |
实践洞察：在大型互联网公司中，一个生产级Kubernetes集群通常承载50~200个租户。通过合理的多租户隔离设计，平台团队可以将租户创建时间从3天缩短到3分钟，同时将安全事件降低80%以上。
下图从成本、效率、安全、速度四个维度，对比了“无多租户隔离”与“有多租户隔离”的差异：
1.4 多租户隔离的典型层次
在云原生环境中，多租户隔离通常从以下三个层次展开，每一层解决不同的问题：
- 资源隔离层：通过Kubernetes Namespace、ResourceQuota、LimitRange确保租户间CPU/内存/存储不互相抢占。
- 安全隔离层：通过RBAC、NetworkPolicy、PodSecurityPolicy、OPA/Gatekeeper实现权限与网络的最小化控制。
- 运维隔离层：通过独立的监控视图、日志流、告警规则、成本分摊标签，让每个租户拥有“自治体验”。
课程预告：本章后续将深入讲解命名空间规划的最佳实践，包括命名规范、层级设计、配额策略，以及如何通过Hierarchical Namespace Controller (HNC)实现租户子命名空间的自动继承管理。