2. Kubernetes多租户基础概念：Namespace隔离、RBAC、NetworkPolicy、ResourceQuota、LimitRange在多租户场景下的作用

在Kubernetes多租户集群中，隔离与资源管控是两大核心挑战。Kubernetes原生提供了五个关键组件来构建多租户基础：Namespace、RBAC、NetworkPolicy、ResourceQuota 和 LimitRange。它们分别从逻辑边界、权限、网络、资源总量和单个容器资源约束五个维度实现租户隔离。

2.1 五维隔离模型总览

下表清晰展示了每个组件在多租户场景中的隔离维度、作用对象和典型场景：

2.2 五组件协同工作流（SVG架构图）

下图展示了在多租户集群中，五个组件如何分层协作，共同构建一个完整的隔离与管控体系：

2.3 各组件深度解析

2.3.1 Namespace：多租户的逻辑边界

Namespace 是 Kubernetes 多租户的第一道防线。每个租户拥有独立的 Namespace，资源名称（如 Pod、Service、ConfigMap）在各自 Namespace 内唯一，跨 Namespace 不可见。

• 资源隔离：同名 Service 可以在不同 Namespace 共存，互不干扰。
• DNS 隔离：跨 Namespace 访问需使用 <service>.<namespace>.svc.cluster.local 全限定域名。
• 管理边界：kubectl 操作默认限定在当前 Namespace，避免误操作影响其他租户。

2.3.2 RBAC：细粒度的权限控制

RBAC（基于角色的访问控制）确保租户只能访问自己的 Namespace。核心概念包括：

• Role / ClusterRole：定义一组权限规则（如 get pods、create deployments）。
• RoleBinding / ClusterRoleBinding：将 Role 绑定到用户、组或 ServiceAccount。
• 多租户最佳实践：为每个租户创建独立的 ServiceAccount，绑定仅限该 Namespace 的 Role。

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: tenant-a
  name: tenant-a-reader
rules:
- apiGroups: [""]
  resources: ["pods", "services", "configmaps"]
  verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: tenant-a
  name: tenant-a-reader-binding
subjects:
- kind: User
  name: "user-tenant-a"
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: tenant-a-reader
  apiGroup: rbac.authorization.k8s.io

2.3.3 NetworkPolicy：网络层面的强制隔离

在多租户场景中，默认允许所有流量是巨大的安全风险。NetworkPolicy 通过标签选择器和 CIDR 规则，实现 Pod 级别的网络访问控制。

• 默认拒绝策略：先创建一条拒绝所有入站/出站流量的策略，再按需放行。
• 跨 Namespace 控制：使用 namespaceSelector 精确控制哪些 Namespace 可以通信。
• Cilium 增强：Cilium 支持基于 DNS、HTTP 方法、Kafka 主题等 L7 协议的 NetworkPolicy，实现更精细的租户网络隔离。

2.3.4 ResourceQuota：防止租户资源滥用

ResourceQuota 限制一个 Namespace 内资源总量，防止单个租户耗尽集群资源。可限制的资源包括：

• 计算资源：requests.cpu、requests.memory、limits.cpu、limits.memory。
• 存储资源：requests.storage、persistentvolumeclaims。
• 对象数量：pods、services、configmaps、secrets、replicationcontrollers 等。

apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-a-quota
  namespace: tenant-a
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    pods: "10"
    services: "5"
    persistentvolumeclaims: "3"

2.3.5 LimitRange：单体容器的资源约束

ResourceQuota 控制总量，但无法阻止单个 Pod 申请过大的资源。LimitRange 为 Namespace 内的每个容器设置默认 requests/limits 和最小/最大约束。

• 默认值：如果 Pod 未设置 requests/limits，自动注入默认值。
• 边界约束：强制每个容器的 CPU 请求在 100m~2 之间，内存请求在 128Mi~4Gi 之间。
• 比例约束：限制 limits/requests 的比例（如 maxLimitRequestRatio），防止过度超卖。

apiVersion: v1
kind: LimitRange
metadata:
  name: tenant-a-limits
  namespace: tenant-a
spec:
  limits:
  - max:
      cpu: "2"
      memory: "4Gi"
    min:
      cpu: "100m"
      memory: "128Mi"
    default:
      cpu: "500m"
      memory: "512Mi"
    defaultRequest:
      cpu: "200m"
      memory: "256Mi"
    maxLimitRequestRatio:
      cpu: "2"

2.4 五组件协同实战流程（SVG流程图）

下图展示了在多租户集群中，从租户创建到 Pod 启动的完整隔离检查流程：

2.5 多租户隔离最佳实践清单