3. 多租户模型设计：租户定义、命名空间隔离、资源配额与网络策略基础

在 Kubernetes 集群中实现多租户隔离，核心在于将逻辑租户映射到物理集群资源上，并通过一系列原生机制确保故障域、资源域与安全域的独立。本节将定义租户模型，并深入讲解命名空间隔离、ResourceQuota 与 NetworkPolicy 的基础配置。

3.1 租户定义与模型抽象

租户（Tenant）是集群资源与工作负载的逻辑所有者。在云原生架构中，租户通常对应一个团队、一个项目或一个业务线。租户模型需明确以下属性：

3.2 命名空间隔离：租户的边界墙

Kubernetes Namespace 是隔离的基础单元。每个租户的工作负载、ConfigMap、Secret 都应部署在专属 Namespace 内。命名空间隔离策略如下：

• 命名规范： <tenant-id>-<environment>，例如 tenant-alpha-prod。
• 标签注入： 每个 Namespace 必须携带 tenant: <tenant-id> 标签，便于策略匹配与审计。
• 禁止默认 Namespace： 生产环境禁止使用 default Namespace 部署任何业务负载。

# 创建租户 Namespace 示例
apiVersion: v1
kind: Namespace
metadata:
  name: tenant-alpha-prod
  labels:
    tenant: tenant-alpha
    environment: production
    isolation-tier: high

3.3 资源配额（ResourceQuota）：防止租户资源抢占

ResourceQuota 是 Kubernetes 原生资源管控机制，用于限制一个 Namespace 内所有 Pod 的资源总和。在多租户场景下，它为每个租户划定资源上限，避免某个租户的异常流量或错误配置耗尽集群资源，从而保护其他租户的稳定性。

# 租户 ResourceQuota 配置示例
apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-alpha-quota
  namespace: tenant-alpha-prod
spec:
  hard:
    requests.cpu: "32"
    requests.memory: "128Gi"
    limits.cpu: "64"
    limits.memory: "256Gi"
    pods: "50"
    persistentvolumeclaims: "10"
    requests.storage: "500Gi"

3.4 网络策略（NetworkPolicy）：租户间流量隔离

NetworkPolicy 是 Kubernetes 原生的网络访问控制机制，基于 Pod 标签和 Namespace 选择器实现精细化的流量管控。在多租户架构中，NetworkPolicy 是防止租户间横向移动攻击、保障网络故障域隔离的关键。

基础策略模型包含三类规则：

• 默认拒绝入站： 拒绝所有非本租户 Namespace 的入站流量。
• 允许同租户通信： 允许同一租户下不同 Namespace 之间的必要通信。
• 允许系统组件： 允许监控、日志、DNS 等基础设施组件的访问。

# 租户隔离 NetworkPolicy 示例
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tenant-alpha-isolation
  namespace: tenant-alpha-prod
spec:
  podSelector: {}  # 匹配该 Namespace 下所有 Pod
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          tenant: tenant-alpha  # 仅允许同租户 Namespace 的流量
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: kube-system  # 允许系统组件
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          tenant: tenant-alpha
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: kube-system

3.5 多租户隔离架构总览

下图展示了基于命名空间、资源配额与网络策略的多租户隔离架构。每个租户拥有独立的 Namespace 集合，ResourceQuota 划定资源边界，NetworkPolicy 控制流量边界，共同构成故障域隔离的基础。

3.6 多租户隔离清单与验证

在集群升级前，必须逐项验证多租户隔离配置的有效性。以下为关键检查项：