3. Kubernetes 资源配额基础：ResourceQuota、LimitRange、PriorityClass 的工作原理与限制

在 Argo CD 管理大规模多租户集群时，资源配额是防止“资源争抢”和“容量爆炸”的第一道防线。Kubernetes 提供了三种核心资源管控原语：ResourceQuota（命名空间级总量限制）、LimitRange（Pod/容器级默认值与边界约束）和 PriorityClass（调度优先级与抢占行为）。理解这三者的工作原理、交互关系及限制，是后续校准 Argo CD 资源配额通信机制的前提。

3.1 ResourceQuota：命名空间资源天花板

ResourceQuota 作用于 命名空间（Namespace） 级别，限制该命名空间内所有 Pod 的资源总和上限。它支持两种资源维度：计算资源（CPU、内存）和 对象数量（Pod、Service、PVC 等）。

3.1.1 工作原理

• 准入控制：ResourceQuota 通过 Kubernetes 准入控制器（ResourceQuota Admission Controller）在 Pod 创建/更新时校验。如果请求导致命名空间总资源超出配额，请求被拒绝。
• 硬限制（Hard）：定义资源上限，例如 requests.cpu: "10"、limits.memory: 20Gi。
• 作用域（Scopes）：可限定配额仅对特定状态的 Pod 生效（如 BestEffort、NotTerminating）。

3.1.2 典型配置示例

apiVersion: v1
kind: ResourceQuota
metadata:
  name: compute-quota
  namespace: team-a
spec:
  hard:
    requests.cpu: "4"
    requests.memory: 8Gi
    limits.cpu: "8"
    limits.memory: 16Gi
    pods: "20"
    services: "10"
    persistentvolumeclaims: "5"

3.2 LimitRange：Pod/容器级资源边界与默认值

LimitRange 同样作用于命名空间级别，但它管控的是 单个 Pod 或容器 的资源请求与限制。它解决 ResourceQuota 无法处理的“默认值”和“边界约束”问题。

3.2.1 工作原理

• 默认值注入：如果 Pod 未显式设置 resources.requests 或 resources.limits，LimitRange 会自动注入默认值。
• 边界约束：限制单个容器的最小/最大资源请求与限制，防止极端资源分配。
• 比例约束：可强制 limits 与 requests 的比例（如 maxLimitRequestRatio）。

3.2.2 典型配置示例

apiVersion: v1
kind: LimitRange
metadata:
  name: container-limits
  namespace: team-a
spec:
  limits:
  - max:
      cpu: "2"
      memory: 4Gi
    min:
      cpu: "100m"
      memory: 128Mi
    default:
      cpu: "500m"
      memory: 1Gi
    defaultRequest:
      cpu: "200m"
      memory: 512Mi
    type: Container

3.3 PriorityClass：调度优先级与抢占

PriorityClass 定义 Pod 的调度优先级，影响 调度顺序 和 抢占行为。它不直接限制资源总量，但通过优先级机制间接影响资源分配策略。

3.3.1 工作原理

• 优先级值：整数，值越高优先级越高。Kubernetes 默认优先级为 0。
• 抢占（Preemption）：高优先级 Pod 在调度时，如果集群资源不足，可以驱逐低优先级 Pod 以释放资源。
• 全局与命名空间：PriorityClass 是集群级资源，但可通过 globalDefault 字段设置命名空间默认优先级。

3.3.2 典型配置示例

apiVersion: scheduling.k8s.io/v1
kind: PriorityClass
metadata:
  name: high-priority
value: 1000000
globalDefault: false
description: "用于关键业务 Pod，支持抢占低优先级 Pod"

3.4 三者交互关系与限制总结

下表梳理了 ResourceQuota、LimitRange、PriorityClass 的核心差异与交互限制：

3.5 资源配额交互流程（SVG 图）

下图展示了在 Argo CD 同步应用时，ResourceQuota、LimitRange 与 PriorityClass 的交互流程：

3.6 常见限制与避坑指南

• ResourceQuota 与 LimitRange 顺序依赖：LimitRange 的默认值必须在 ResourceQuota 硬限制范围内。建议先创建 LimitRange，再创建 ResourceQuota。
• PriorityClass 与抢占风险：高优先级 Pod 的抢占可能导致低优先级 Pod 被驱逐，影响应用稳定性。在 Argo CD 中，建议为关键应用设置独立 PriorityClass，并配合 PodDisruptionBudget 使用。
• 资源配额更新延迟：ResourceQuota 的状态更新存在短暂延迟（通常数秒），Argo CD 的健康检查可能在此期间误判资源状态。建议在 Argo CD 资源健康检查中增加 timeoutSeconds 配置。
• 跨命名空间资源限制：ResourceQuota 无法限制跨命名空间的资源使用（如 ClusterIP Service 的端口占用）。需要结合网络策略（NetworkPolicy）和集群级资源监控。

3.7 资源配额与 Argo CD 的校准关系（SVG 图）

下图展示了 Argo CD 在同步应用时，如何与 Kubernetes 资源配额机制进行校准通信：

3.8 小结