3、多租户模型概述：Argo CD中的Project、RBAC、Namespace隔离机制

多租户隔离是 Argo CD 在企业级部署中的核心能力。它允许平台团队在同一个 Argo CD 实例上安全地托管多个业务团队、项目或环境，同时确保每个租户只能访问和操作自己被授权的资源。本章将深入剖析支撑这一能力的三大基石：Project（项目）、RBAC（基于角色的访问控制） 和 Namespace（命名空间） 隔离机制。

3.1 三大隔离机制概览

下表从隔离维度、作用对象和核心配置三个角度，对比了 Project、RBAC 和 Namespace 的职责与差异：

3.2 Project：逻辑资源边界

Project 是 Argo CD 中最高级别的逻辑隔离单元。每个 Application 必须属于且仅属于一个 Project。Project 通过白名单机制严格限制 Application 可以引用的 Git 仓库源和可以部署的目标集群/Namespace。

Project 的核心配置项：

• sourceRepos：允许引用的 Git 仓库 URL 列表（支持通配符）。
• destinations：允许部署的目标集群（server URL）和 Namespace 列表。
• clusterResourceWhitelist/Blacklist：控制是否允许创建集群级别资源（如 Namespace、ClusterRole）。
• namespaceResourceWhitelist/Blacklist：细粒度控制 Namespace 级别资源类型。
• roles：在 Project 内部定义角色，实现 Project 级别的 RBAC 子授权。

# 示例：创建一个限制严格的 Project
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-alpha
  namespace: argocd
spec:
  sourceRepos:
  - 'https://git.company.com/team-alpha/*'
  destinations:
  - namespace: 'team-*'
    server: 'https://kubernetes.default.svc'
  clusterResourceWhitelist:
  - group: ''
    kind: Namespace
  namespaceResourceBlacklist:
  - group: 'rbac.authorization.k8s.io'
    kind: 'ClusterRoleBinding'

3.3 RBAC：细粒度操作权限

Argo CD 的 RBAC 机制基于 argocd-rbac-cm ConfigMap 中的 policy.csv 字段实现。它使用 Casbin 策略语言，支持对用户、组、角色进行权限控制。权限可以作用于全局，也可以限定到特定的 Project。

RBAC 策略结构：

# 格式：p, subject, resource, action, object, effect
# 示例：授予 team-alpha 管理员对 team-alpha Project 的所有权限
p, role:team-alpha-admin, projects, get, team-alpha, allow
p, role:team-alpha-admin, applications, *, team-alpha/*, allow
p, role:team-alpha-admin, logs, get, team-alpha/*, allow

# 将用户绑定到角色
g, alice@company.com, role:team-alpha-admin

常用 RBAC 资源与动作：

3.4 Namespace：Kubernetes 部署隔离

Namespace 是 Kubernetes 原生的隔离机制。在 Argo CD 多租户模型中，Namespace 隔离通常与 Project 的 destinations 配置结合使用。每个租户被分配一个或多个专属 Namespace，Argo CD 在同步 Application 时，会确保资源只被创建到授权的 Namespace 中。

Namespace 级别的增强隔离措施：

• NetworkPolicy：限制 Pod 之间的网络通信，防止跨租户网络嗅探。
• ResourceQuota：限制租户可以消耗的 CPU、内存、存储等资源总量。
• LimitRange：设置 Pod 和容器的默认资源请求/限制，防止单个 Pod 耗尽资源。
• Kubernetes RBAC：通过 Role 和 RoleBinding 限制租户在其 Namespace 内的操作权限。

3.5 三层隔离协同架构

下图展示了 Argo CD 多租户模型中，Project、RBAC 和 Namespace 如何协同工作，形成一个完整的隔离链路：

3.6 隔离机制对比与选型建议

在实际部署中，应根据租户的信任级别和安全要求，选择合适的隔离组合：