4. 容器资源限制基础：requests 与 limits 的定义、CPU 与内存单位、QoS 类别

在 Kubernetes 集群中，容器资源限制是保障集群稳定性与公平调度的基石。没有资源约束的 Pod 可能耗尽节点资源，导致其他 Pod 被驱逐甚至节点宕机。本章深入解析 requests 与 limits 的定义、CPU/内存单位换算以及由此产生的三种 QoS（服务质量）类别，为后续的容量规划与 OPA 策略编写奠定基础。

4.1 requests 与 limits 的定义

Kubernetes 通过两个关键字段控制容器的资源使用：

• requests：容器启动时向节点请求的“最小保证资源”。调度器依据 requests 值选择满足条件的节点；如果节点资源不足，Pod 将处于 Pending 状态。
• limits：容器运行时允许使用的“资源上限”。当容器试图使用超过 limits 的资源时，CPU 会被节流（throttle），内存不足时容器会被 OOM Kill。

以下是一个典型的资源声明示例：

apiVersion: v1
kind: Pod
metadata:
  name: resource-demo
spec:
  containers:
  - name: app
    image: nginx:1.25
    resources:
      requests:
        cpu: "500m"
        memory: "256Mi"
      limits:
        cpu: "1"
        memory: "512Mi"

4.2 CPU 与内存单位详解

Kubernetes 使用标准化单位表示 CPU 和内存，理解这些单位对精确配置至关重要。

4.3 QoS 类别：Guaranteed / Burstable / BestEffort

Kubernetes 根据 Pod 中所有容器的 requests 与 limits 配置，自动将 Pod 归入三种 QoS（服务质量）类别之一。该类别决定了节点资源紧张时 Pod 被驱逐的优先级。

4.4 三种 QoS 类别的详细对比

4.5 OOM 分数与驱逐机制

当节点内存不足时，kubelet 会启动驱逐流程。每个 Pod 的 OOM 分数由 QoS 类别和实际内存使用量共同决定：

• BestEffort Pod：OOM 分数最高（通常为 1000），优先被杀死。
• Burstable Pod：OOM 分数 = 1000 - (实际内存使用量 / 节点内存总量) × 1000。使用内存越多的 Pod 分数越高，越容易被杀死。
• Guaranteed Pod：OOM 分数最低（通常为 0-10），仅在节点发生系统级 OOM 且无其他 Pod 可杀时才会被终止。

4.6 安全基线配置示例

以下是一个符合生产安全基线的 Deployment 资源声明，结合了 QoS 类别选择与资源限制：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: secure-app
  namespace: production
spec:
  replicas: 3
  selector:
    matchLabels:
      app: secure-app
  template:
    metadata:
      labels:
        app: secure-app
    spec:
      containers:
      - name: app
        image: myapp:1.0.0
        resources:
          requests:
            cpu: "500m"
            memory: "512Mi"
          limits:
            cpu: "1"
            memory: "1Gi"
        securityContext:
          runAsNonRoot: true
          runAsUser: 1001
          capabilities:
            drop: ["ALL"]
      - name: sidecar
        image: envoy:1.28
        resources:
          requests:
            cpu: "200m"
            memory: "128Mi"
          limits:
            cpu: "500m"
            memory: "256Mi"
        securityContext:
          runAsNonRoot: true
          runAsUser: 1002

4.7 常见配置错误与避坑指南