3、多租户架构模式：Namespace隔离、资源配额、网络策略基础

在Kubernetes中实现多租户故障域隔离，核心依赖三大基础模式：Namespace（命名空间）作为租户边界、ResourceQuota（资源配额）作为容量边界、NetworkPolicy（网络策略）作为通信边界。三者共同构成租户隔离的“铁三角”，是滚动更新期间防止租户间相互干扰的前提条件。

3.1 Namespace隔离：租户的逻辑边界

Namespace是Kubernetes多租户的第一道防线。每个租户拥有独立的Namespace，其内的Pod、Service、ConfigMap等资源天然与其它Namespace隔离。滚动更新时，Namespace确保一个租户的Deployment变更不会误操作或误删除另一个租户的资源。

3.2 资源配额：防止租户资源抢占

ResourceQuota为每个Namespace设置资源上限，包括CPU、内存、Pod数量、PVC存储等。滚动更新期间，ReplicaSet会临时创建新Pod、销毁旧Pod，资源配额确保这一过程不会超出租户的容量边界，从而避免一个租户的更新操作“挤占”其他租户的资源。

apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-quota
  namespace: tenant-a
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    pods: "20"
    persistentvolumeclaims: "5"
    services: "10"

3.3 网络策略：租户通信的防火墙

NetworkPolicy通过标签选择器和CIDR规则控制Pod之间的流量。在多租户场景下，默认策略应拒绝所有跨Namespace的入站流量，仅允许同一租户内的Pod互相通信。滚动更新时，新Pod的IP会变化，NetworkPolicy基于标签而非IP，因此无需调整策略即可保持隔离。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-tenant
  namespace: tenant-a
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          tenant: tenant-a

3.4 三种模式的协同关系

下图展示了Namespace、ResourceQuota、NetworkPolicy在多租户故障域中的协同工作方式：

3.5 三种模式的配置清单对比

3.6 实施检查清单

1. Namespace规划：每个租户一个Namespace，命名规范如tenant-{id}，并打上tenant: {id}标签供NetworkPolicy引用。
2. ResourceQuota配置：为每个Namespace设置CPU/Memory/Pod配额，Pod配额需考虑滚动更新的maxSurge余量。
3. NetworkPolicy部署：创建默认拒绝入站策略，再按需开放同Namespace内通信或特定服务端口。
4. 验证测试：模拟滚动更新，确认跨Namespace的Pod无法互相访问，且资源配额不足时更新会优雅阻塞而非崩溃。