3. 资源配额（ResourceQuota）：CPU/内存配额、对象数量配额、作用域与优先级

在多租户集群中，资源配额是防止“噪声邻居”效应、保障租户间公平调度的第一道防线。Kubernetes 的 ResourceQuota 对象为每个命名空间设定资源消耗上限，涵盖计算资源（CPU/内存）、存储资源以及各类 API 对象的数量。本章将深入剖析配额模型、作用域机制与优先级冲突处理，帮助你在蓝图模板中构建可预测、可审计的资源边界。

3.1 配额核心模型：CPU 与内存的语义差异

CPU 和内存是两种不同压缩属性的资源，配额系统对它们的处理方式截然不同：

3.2 对象数量配额：控制集群控制面压力

除了计算资源，ResourceQuota 还可以限制命名空间内各类 API 对象的数量。这是防止租户创建海量小对象压垮 etcd 或 API Server 的关键手段。

apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-quota
  namespace: tenant-a
spec:
  hard:
    # 计算资源
    requests.cpu: "10"
    requests.memory: "20Gi"
    limits.cpu: "20"
    limits.memory: "40Gi"
    # 存储资源
    requests.storage: "100Gi"
    persistentvolumeclaims: "10"
    # 核心对象数量
    pods: "50"
    services: "10"
    configmaps: "20"
    secrets: "20"
    replicationcontrollers: "10"
    # 扩展对象数量
    count/deployments.apps: "5"
    count/statefulsets.apps: "5"
    count/jobs.batch: "10"
    count/cronjobs.batch: "5"

3.3 作用域（Scopes）：精细化配额控制

作用域允许配额只对特定状态的 Pod 生效，避免“一刀切”导致资源浪费。Kubernetes 内置了以下作用域：

通过组合作用域，可以为同一命名空间创建多个配额对象，实现分层资源池：

# 高优 Pod 配额：允许使用更多资源
apiVersion: v1
kind: ResourceQuota
metadata:
  name: high-priority-quota
  namespace: tenant-a
spec:
  hard:
    pods: "20"
    requests.cpu: "8"
    requests.memory: "16Gi"
  scopeSelector:
    matchExpressions:
    - operator: In
      scopeName: PriorityClass
      values: ["high-priority"]

---
# 低优 Pod 配额：限制严格
apiVersion: v1
kind: ResourceQuota
metadata:
  name: low-priority-quota
  namespace: tenant-a
spec:
  hard:
    pods: "10"
    requests.cpu: "2"
    requests.memory: "4Gi"
  scopeSelector:
    matchExpressions:
    - operator: In
      scopeName: PriorityClass
      values: ["low-priority"]

3.4 优先级与冲突处理：配额准入的裁决逻辑

当多个配额对象作用于同一个 Pod 时，Kubernetes 使用以下优先级规则进行裁决：

1. 作用域匹配优先：Pod 匹配的 scopeSelector 越精确，对应配额越优先。
2. 最小剩余量优先：如果多个配额都匹配，系统选择剩余资源比例最小的配额进行校验，避免资源碎片。
3. 硬限制不可突破：所有匹配的配额中，任何一个的 hard 限制被违反，Pod 创建都会被拒绝。
4. 默认配额兜底：如果 Pod 不匹配任何作用域，则使用不带 scopeSelector 的默认配额。

以下 SVG 图展示了多租户场景下配额准入的完整决策流程：

3.5 性能调优：配额对调度器与 API Server 的影响

大规模集群中，ResourceQuota 的频繁校验可能成为性能瓶颈。以下是关键调优方向：

3.6 蓝图模板中的配额设计模式

基于以上分析，我们在多租户蓝图模板中推荐以下配额设计模式：

1. 分层配额：为每个租户命名空间创建 3 个配额对象——在线服务配额（NotTerminating + NotBestEffort）、离线任务配额（Terminating）、弹性配额（BestEffort）。
2. 预留缓冲：配额 hard 值设置为集群容量的 80%，预留 20% 给系统组件和突发扩容。
3. 对象数量限制：对 pods、services、configmaps 设置硬上限，防止租户创建海量小对象。
4. 优先级隔离：使用 PriorityClass 作用域将高优工作负载与低优工作负载的配额池完全隔离。
5. 监控告警：对配额使用率设置告警阈值（如 80% 告警、95% 严重告警），提前干预。

以下 SVG 图展示了蓝图模板中推荐的配额分层架构：