Kubernetes 资源管理基础：Pod 资源请求与限制、QoS 类别、资源配额与 LimitRange

在 Kubernetes 集群中，资源管理是保障应用稳定性与集群效率的核心。本章将系统讲解 Pod 级别的资源请求与限制、由此衍生的 QoS 类别，以及命名空间级别的 ResourceQuota 和 LimitRange 机制。理解这些概念是后续通过 OPA Gatekeeper 实现自动化容量巡检的前提。

2.1 Pod 资源请求与限制

每个容器在 Pod 定义中都可以声明两类资源参数：requests（请求）和 limits（限制）。

• Requests：调度器保证的最小资源量，用于节点选择与资源预留。
• Limits：容器可以使用的资源上限，防止单个容器耗尽节点资源。

Kubernetes 目前主要管理两种可压缩资源（CPU）和一种不可压缩资源（内存）。

以下是一个包含资源声明的 Pod 示例：

apiVersion: v1
kind: Pod
metadata:
  name: resource-demo
spec:
  containers:
  - name: app
    image: nginx:1.25
    resources:
      requests:
        memory: "256Mi"
        cpu: "500m"
      limits:
        memory: "512Mi"
        cpu: "1000m"

2.2 QoS 类别：服务质量分级

Kubernetes 根据 Pod 中所有容器的资源请求与限制设置，自动为每个 Pod 分配一个 QoS（Quality of Service）类别。该类别决定了节点资源紧张时 Pod 被驱逐的优先级。

QoS 类别分为三种：

下图展示了 QoS 类别的判定流程与驱逐优先级关系：

2.3 ResourceQuota：命名空间资源配额

ResourceQuota 是命名空间级别的资源总量限制机制。它能够限制一个命名空间内所有 Pod 的资源请求总和与限制总和，防止单个团队或项目过度占用集群资源。

一个典型的 ResourceQuota 示例：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: team-a-quota
  namespace: team-a
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    persistentvolumeclaims: "5"
    pods: "20"

ResourceQuota 支持的主要资源维度：

2.4 LimitRange：容器资源默认值与约束

LimitRange 在命名空间级别为容器设置资源请求与限制的默认值以及最小/最大值约束。它解决了两个问题：

• 为未显式设置资源的 Pod 提供默认值，避免产生 BestEffort Pod。
• 限制单个容器能申请的资源范围，防止“超大 Pod”挤占配额。

LimitRange 示例：

apiVersion: v1
kind: LimitRange
metadata:
  name: default-limits
  namespace: team-a
spec:
  limits:
  - max:
      cpu: "2"
      memory: "4Gi"
    min:
      cpu: "100m"
      memory: "128Mi"
    default:
      cpu: "500m"
      memory: "512Mi"
    defaultRequest:
      cpu: "200m"
      memory: "256Mi"
    type: Container

LimitRange 关键字段说明：

下图展示了 ResourceQuota 与 LimitRange 在命名空间中的协同作用：

2.5 资源管理四层模型总结

Kubernetes 的资源管理从 Pod 到集群分为四个层次，每一层解决不同的问题：