3. 故障域隔离原理：故障域定义、物理/逻辑故障域、跨可用区/集群的隔离策略

3.1 故障域定义与核心概念

故障域（Fault Domain）是分布式系统中一组共享同一故障风险组件的资源集合。当该集合内的关键组件（如电源、网络交换机、物理服务器或可用区）发生故障时，集合内的所有资源将同时受到影响。故障域隔离的目标是通过将不同租户或工作负载分散到独立的故障域中，确保单一故障事件不会导致多个租户同时不可用。

3.2 物理故障域 vs 逻辑故障域

物理故障域提供硬件级别的硬隔离，逻辑故障域提供软件层面的软隔离。在多租户场景中，两者需要组合使用才能实现完整的故障隔离效果。

3.3 跨可用区（AZ）隔离策略

跨可用区隔离是云原生架构中最基础的故障域隔离手段。每个可用区由独立的电力、冷却和网络设施支撑，AZ之间通过低延迟光纤互联。多租户平台应将租户的工作负载均匀分布在多个AZ中，并确保每个租户至少跨越2个AZ。

3.4 跨集群隔离策略

当单个Kubernetes集群的规模或故障半径无法满足租户隔离要求时，需要引入跨集群隔离。每个集群拥有独立的控制面（API Server、etcd、Controller Manager），集群间的故障完全隔离。

3.5 OPA策略中的故障域约束实现

在OPA/Rego策略中，故障域隔离通过以下方式实现：

• 标签约束： 强制Pod必须带有 failure-domain.beta.kubernetes.io/zone 标签，且值必须属于允许的AZ列表。
• 拓扑分布约束： 使用 topologySpreadConstraints 确保同一租户的Pod在AZ间均匀分布。
• PodAntiAffinity： 强制同一租户的Pod不能调度到同一物理节点或同一可用区。
• 集群选择器： 通过 clusterSelector 限制租户只能部署到指定的集群集合。

# OPA Rego 策略示例：强制跨AZ分布
package kubernetes.admission

violation[msg] {
    input.request.kind.kind == "Pod"
    input.request.operation == "CREATE"
    
    # 获取租户标签
    tenant := input.request.object.metadata.labels["tenant"]
    
    # 检查是否指定了AZ标签
    zone := input.request.object.spec.topologySpreadConstraints[_]
    zone.maxSkew > 1
    zone.whenUnsatisfiable == "DoNotSchedule"
    zone.topologyKey == "topology.kubernetes.io/zone"
    
    # 如果租户是critical级别，必须至少跨越2个AZ
    tenant == "critical-tenant"
    count({c | c := input.request.object.spec.topologySpreadConstraints[_]; 
            c.topologyKey == "topology.kubernetes.io/zone"}) < 2
    
    msg := sprintf("Critical tenant %v must have at least 2 zone topology spread constraints", [tenant])
}

3.6 故障域隔离的OPA指标采集点

在演练场景中，OPA需要采集以下与故障域隔离相关的指标：