4. Resource 模型基础：Kubernetes Resource 模型

Kubernetes 的一切皆资源（Resource）。Resource 模型是声明式 API 的核心，它定义了集群中所有可管理对象的类型、结构、状态与生命周期。在多租户隔离场景中，理解 Resource 模型是设计租户边界、配额控制与安全策略的前提。

本章聚焦 5 个最基础的 Resource 类型：Pod、Deployment、Service、ConfigMap 与 Secret。它们构成了绝大多数工作负载的骨架。

4.1 核心 Resource 概览

下表从作用域、是否命名空间级别、主要用途三个维度对比这 5 种 Resource：

4.2 Pod：最小调度单元

Pod 是 Kubernetes 中可创建和管理的最小部署单元。一个 Pod 可以包含一个或多个容器（Sidecar 模式），这些容器共享同一个网络命名空间、存储卷与生命周期。

Pod 的核心属性：

• 共享网络：Pod 内所有容器共享同一个 IP 地址和端口空间，通过 localhost 互相通信。
• 共享存储：通过 Volume 挂载，Pod 内容器可以共享持久化数据。
• 生命周期短暂：Pod 被设计为“可抛弃的”，不会自愈，通常由控制器（如 Deployment）管理。

apiVersion: v1
kind: Pod
metadata:
  name: example-pod
  namespace: tenant-a
  labels:
    app: nginx
spec:
  containers:
  - name: nginx
    image: nginx:1.25
    ports:
    - containerPort: 80
    resources:
      requests:
        memory: "64Mi"
        cpu: "250m"
      limits:
        memory: "128Mi"
        cpu: "500m"

4.3 Deployment：声明式 Pod 管理

Deployment 是 Kubernetes 中最常用的工作负载控制器。它通过 ReplicaSet 管理 Pod 的期望状态，支持滚动更新、回滚、水平扩缩容。

Deployment 的核心能力：

• 声明式更新：修改 Pod template 后，Deployment 自动执行滚动更新策略。
• 回滚：保留历史版本（默认 10 个），支持快速回退到任意旧版本。
• 副本管理：确保指定数量的 Pod 始终运行。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  namespace: tenant-a
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.25
        ports:
        - containerPort: 80

4.4 Service：稳定的网络抽象

Pod 的 IP 地址是动态的，Pod 重启或迁移后 IP 会变化。Service 为后端 Pod 提供稳定的虚拟 IP（ClusterIP）和 DNS 名称，并实现负载均衡。

Service 的四种类型：

apiVersion: v1
kind: Service
metadata:
  name: nginx-service
  namespace: tenant-a
spec:
  selector:
    app: nginx
  ports:
  - protocol: TCP
    port: 80
    targetPort: 80
  type: ClusterIP

4.5 ConfigMap 与 Secret：配置与敏感数据注入

ConfigMap 和 Secret 用于将配置数据与容器镜像解耦。它们可以被 Pod 通过环境变量或Volume 挂载的方式消费。

两者的核心区别：

# ConfigMap 示例
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
  namespace: tenant-a
data:
  app.properties: |
    log.level=INFO
    max.connections=100
  APP_ENV: production

---
# Secret 示例
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
  namespace: tenant-a
type: Opaque
data:
  username: YWRtaW4=        # admin
  password: cGFzc3dvcmQxMjM=  # password123

4.6 Resource 模型关系图

下图展示了 5 种核心 Resource 之间的依赖与数据流关系：

4.7 多租户视角的 Resource 模型要点

在多租户隔离集群中，上述 Resource 模型需要额外关注以下约束：

1. 命名空间隔离：所有 Resource 必须归属于某个命名空间，不同租户使用不同命名空间。
2. ResourceQuota：限制每个租户的 Pod 数量、CPU/内存总量、ConfigMap/Secret 数量等。
3. NetworkPolicy：控制 Pod 之间的网络通信，默认拒绝跨租户流量。
4. RBAC：租户只能操作自己命名空间内的 Resource，不能查看或修改其他租户的 Resource。
5. PodSecurityPolicy：限制 Pod 的安全上下文（如特权模式、hostPath 挂载）。