4. 资源配额模型设计：Kubernetes ResourceQuota 与 LimitRange 的 YAML 定义、配额模型抽象

在 Sigstore 策略即代码（Policy-as-Code, PaC）的治理框架中，资源配额模型是检测“漂移告警”的基准锚点。本章将深入 Kubernetes 原生配额原语 ResourceQuota 与 LimitRange 的 YAML 定义，并抽象出可被 Sigstore 策略引擎消费的配额模型。

4.1 配额原语对比：ResourceQuota vs LimitRange

4.2 ResourceQuota YAML 定义与字段解析

以下是一个面向生产环境的 ResourceQuota 定义，包含计算资源、存储资源和对象数量配额：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: prod-quota
  namespace: production
spec:
  hard:
    # 计算资源
    requests.cpu: "32"
    requests.memory: "128Gi"
    limits.cpu: "64"
    limits.memory: "256Gi"
    # 存储资源
    requests.storage: "500Gi"
    persistentvolumeclaims: "20"
    # 对象数量
    pods: "100"
    services: "20"
    configmaps: "30"
    secrets: "30"
    services.loadbalancers: "5"
    services.nodeports: "10"
  scopeSelector:
    matchExpressions:
      - operator: In
        scopeName: PriorityClass
        values:
          - high-priority

4.3 LimitRange YAML 定义与字段解析

LimitRange 用于定义命名空间内单个容器的资源默认值和边界：

apiVersion: v1
kind: LimitRange
metadata:
  name: container-limits
  namespace: production
spec:
  limits:
    - type: Container
      default:
        cpu: "500m"
        memory: "512Mi"
      defaultRequest:
        cpu: "200m"
        memory: "256Mi"
      max:
        cpu: "4"
        memory: "8Gi"
      min:
        cpu: "50m"
        memory: "64Mi"
      maxLimitRequestRatio:
        cpu: "4"
        memory: "4"
    - type: PersistentVolumeClaim
      max:
        storage: "100Gi"
      min:
        storage: "1Gi"

4.4 配额模型抽象：从 YAML 到策略可消费的结构

为了让 Sigstore 策略引擎能够对配额进行一致性校验，需要将原生 YAML 抽象为配额模型（Quota Model）。该模型包含三个核心层级：

1. 资源域（Resource Domain）：标识配额所属的命名空间、集群、环境（如 production/staging）。
2. 配额项（Quota Item）：每个资源类型（cpu/memory/storage）的 hard 值、min/max、默认值。
3. 约束规则（Constraint Rule）：scopeSelector、maxLimitRequestRatio 等条件逻辑。

以下是一个抽象后的配额模型 JSON 示例（Sigstore 策略引擎可直接消费）：

{
  "apiVersion": "quota.sigstore.dev/v1",
  "kind": "QuotaModel",
  "metadata": {
    "namespace": "production",
    "cluster": "prod-cluster-01"
  },
  "spec": {
    "resourceQuota": {
      "requests.cpu": "32",
      "requests.memory": "128Gi",
      "limits.cpu": "64",
      "limits.memory": "256Gi",
      "pods": "100"
    },
    "limitRange": {
      "container": {
        "default": { "cpu": "500m", "memory": "512Mi" },
        "max": { "cpu": "4", "memory": "8Gi" },
        "min": { "cpu": "50m", "memory": "64Mi" },
        "maxLimitRequestRatio": { "cpu": 4, "memory": 4 }
      }
    },
    "scopeSelector": {
      "matchExpressions": [
        { "operator": "In", "scopeName": "PriorityClass", "values": ["high-priority"] }
      ]
    }
  }
}

4.5 配额模型漂移检测流程（SVG 架构图）

下图展示了从 YAML 定义到配额模型抽象，再到漂移检测的完整链路：

4.6 配额模型抽象的关键字段映射表

下表将 Kubernetes 原生字段映射到抽象模型字段，便于策略编写者理解转换逻辑：

4.7 配额模型设计的避坑指南