3、ResourceQuota 对象详解：API 定义、作用域、资源类型与限制机制

ResourceQuota 是 Kubernetes 内置的准入控制与容量治理原语，它为命名空间级别的资源消耗设定硬性边界。对于 Operator 开发者而言，理解 ResourceQuota 的完整语义是避免“配额拒绝导致 Operator 失控”的前提。本章从 API 定义、作用域、资源类型、硬限制与软限制四个维度展开，并给出 Operator 场景下的典型配置模板。

3.1 ResourceQuota 的 API 定义

ResourceQuota 属于 v1 核心 API 组，其完整结构如下：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: operator-quota
  namespace: operator-system
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    persistentvolumeclaims: "5"
    pods: "20"
    count/deployments.apps: "3"
    count/statefulsets.apps: "2"
  scopeSelector:
    matchExpressions:
      - operator: In
        scopeName: PriorityClass
        values:
          - system-cluster-critical

3.2 作用域（Scopes）与 ScopeSelector

作用域决定了 ResourceQuota 生效的资源子集。Kubernetes 内置以下标准作用域：

3.3 支持的资源类型

ResourceQuota 可管理的资源分为三大类：计算资源、存储资源和对象计数资源。Operator 在声明配额时必须覆盖其管理的所有资源类型。

3.4 硬限制（Hard）与软限制（Soft）

ResourceQuota 支持两种限制模式，但 Kubernetes 原生仅实现了硬限制的强制准入控制。软限制需要配合外部策略引擎（如 Gatekeeper）或 Operator 自身逻辑来实现。

3.5 Operator 场景下的 ResourceQuota 配置模板

以下是一个面向 Operator 生产环境的完整 ResourceQuota 配置，覆盖了计算、存储和对象计数三类资源，并使用了 scopeSelector 区分控制面与数据面 Pod：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: operator-production-quota
  namespace: my-operator-system
spec:
  hard:
    # 计算资源
    requests.cpu: "8"
    requests.memory: "16Gi"
    limits.cpu: "16"
    limits.memory: "32Gi"
    # 存储资源
    requests.storage: "100Gi"
    persistentvolumeclaims: "10"
    # 对象计数
    count/deployments.apps: "5"
    count/statefulsets.apps: "3"
    count/configmaps: "20"
    count/secrets: "20"
    count/services: "10"
  scopeSelector:
    matchExpressions:
      - operator: In
        scopeName: PriorityClass
        values:
          - system-cluster-critical   # 控制面 Pod 使用此 PriorityClass
---
apiVersion: v1
kind: ResourceQuota
metadata:
  name: operator-data-quota
  namespace: my-operator-system
spec:
  hard:
    requests.cpu: "32"
    requests.memory: "64Gi"
    limits.cpu: "64"
    limits.memory: "128Gi"
    persistentvolumeclaims: "50"
  scopeSelector:
    matchExpressions:
      - operator: NotIn
        scopeName: PriorityClass
        values:
          - system-cluster-critical   # 数据面 Pod 不包含该 PriorityClass