3、多租户架构基础：Kubernetes多租户模型

在GitOps多租户环境中，Kubernetes原生提供的隔离机制是构建故障定位与隔离策略的基石。本章深入剖析命名空间、RBAC、网络策略和资源配额四大核心组件，并展示它们如何协同工作以形成可观测、可管控的多租户边界。

3.1 命名空间：租户的逻辑边界

命名空间（Namespace）是Kubernetes多租户的第一道隔离层。它将集群内的资源划分为逻辑分组，每个租户拥有独立的命名空间，从而实现资源命名隔离和权限边界。

3.2 RBAC：细粒度权限控制

基于角色的访问控制（RBAC）决定了每个租户（或用户/服务账户）在各自命名空间内能执行的操作。在多租户场景中，RBAC 策略必须严格遵循最小权限原则。

3.2.1 核心 RBAC 对象

3.2.2 多租户 RBAC 最佳实践

• 使用 ClusterRole 作为模板： 创建通用的 tenant-admin、tenant-developer、tenant-viewer 等 ClusterRole，然后通过 RoleBinding 在每个租户命名空间内绑定。
• 服务账户隔离： 每个 GitOps Agent（如 ArgoCD Application Controller）在目标租户命名空间内使用独立的 ServiceAccount，并绑定最小权限 Role。
• 避免集群级别绑定： 除非必要（如集群管理员），否则始终使用 RoleBinding 而非 ClusterRoleBinding，将权限限制在命名空间内。

3.3 网络策略：租户间流量隔离

默认情况下，Kubernetes 集群内所有 Pod 可以互相通信。网络策略（NetworkPolicy）通过标签选择器和规则定义，实现租户间的网络隔离，防止一个租户的异常流量影响其他租户。

3.3.1 网络策略隔离模型

3.3.2 网络策略配置示例

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tenant-alpha-deny-all
  namespace: tenant-alpha
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tenant-alpha-allow-frontend-to-backend
  namespace: tenant-alpha
spec:
  podSelector:
    matchLabels:
      app: backend
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - port: 8080
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: db
    ports:
    - port: 5432

3.4 资源配额：防止资源争抢

资源配额（ResourceQuota）和限制范围（LimitRange）确保单个租户不会过度消耗集群资源，从而影响其他租户的稳定性。这是多租户故障隔离中“防止噪声邻居”的关键机制。

3.4.1 ResourceQuota 核心配置

3.4.2 LimitRange 配置示例

apiVersion: v1
kind: LimitRange
metadata:
  name: tenant-alpha-limits
  namespace: tenant-alpha
spec:
  limits:
  - max:
      cpu: "2"
      memory: "4Gi"
    min:
      cpu: "100m"
      memory: "128Mi"
    default:
      cpu: "500m"
      memory: "1Gi"
    defaultRequest:
      cpu: "200m"
      memory: "512Mi"
    type: Container

3.5 多租户隔离策略对比