2. 资源配额模型概念

2.1 什么是资源配额

资源配额（Resource Quota）是一种对共享资源进行上限约束的机制。在云原生环境中，资源配额定义了某个租户、命名空间或工作负载所能消耗的最大资源量，防止单一实体无限制地占用集群资源，从而保障整体系统的稳定性与公平性。

资源配额的核心要素包括：

• 资源类型：CPU、内存、存储、网络带宽、GPU 等硬件资源，以及 Pod 数量、Service 数量、ConfigMap 数量等软件对象。
• 作用范围：通常绑定到命名空间（Namespace）或用户组，实现多租户隔离。
• 硬限制（Hard Limit）：一旦达到配额上限，新的资源请求将被拒绝。
• 软限制（Soft Limit）：允许短时超限，但触发告警或驱逐策略。

2.2 配额在云原生环境中的作用

在云原生架构中，资源配额是多租户隔离和容量规划的基础设施。其核心作用体现在以下五个方面：

2.3 配额与限流的区别

资源配额（Quota）和限流（Rate Limiting）是两种不同的流量控制机制，经常被混淆。下表从多个维度进行对比：

2.4 配额模型在 Rego 策略中的映射

在基于 Rego 的策略即代码体系中，资源配额模型被抽象为可编程的策略规则。以下是一个简化的 Rego 配额校验示例：

package kubernetes.quotas

# 定义配额上限
default max_cpu_per_namespace = 8
default max_memory_per_namespace = 16384  # MB

# 校验命名空间 CPU 配额
deny[msg] {
    ns := input.request.namespace
    current_cpu := data.usage[ns].cpu
    requested_cpu := input.request.resources.cpu
    total_cpu := current_cpu + requested_cpu
    total_cpu > max_cpu_per_namespace
    msg := sprintf("命名空间 %v CPU 配额超限：当前 %v + 请求 %v > 上限 %v", [ns, current_cpu, requested_cpu, max_cpu_per_namespace])
}

# 校验命名空间内存配额
deny[msg] {
    ns := input.request.namespace
    current_mem := data.usage[ns].memory
    requested_mem := input.request.resources.memory
    total_mem := current_mem + requested_mem
    total_mem > max_memory_per_namespace
    msg := sprintf("命名空间 %v 内存配额超限：当前 %v + 请求 %v > 上限 %v", [ns, current_mem, requested_mem, max_memory_per_namespace])
}