3、资源配额概念：CPU/内存/网络带宽配额、存储配额、租户级与项目级配额

在多租户云平台中，资源配额（Resource Quota）是防止单个租户或项目过度占用共享物理资源的核心手段。配额机制通过为每个租户或项目设定资源使用的上限，确保平台在多租户竞争下的性能隔离与公平调度。本章将系统阐述 CPU、内存、网络带宽、存储四大类配额的定义、计量单位与配置策略，并深入分析租户级与项目级配额的层级关系与适用场景。

3.1 核心资源配额类型与计量

不同资源在虚拟化与容器化环境中的配额控制粒度存在差异。下表汇总了四类核心资源的配额维度、典型计量单位及常见配置范围：

3.2 租户级配额与项目级配额层级

在多租户架构中，配额通常分为两个层级：租户级（Tenant-Level）与项目级（Project-Level）。租户级配额是整个租户账户下所有项目共享的资源上限；项目级配额则是单个项目内部可分配的资源上限。两者形成树形约束关系：项目级配额之和不得超过所属租户的租户级配额。

下图展示了租户级与项目级配额的层级关系及资源分配流程：

3.3 网络带宽配额与存储配额详解

网络带宽配额在多租户网络拓扑中通常通过虚拟交换机（vSwitch）或 SDN 控制器实现。常见的限速策略包括：

• 端口级限速：基于 vNIC 的入向/出向带宽限制，单位 Mbps。
• 流级限速：基于五元组（源IP、目的IP、协议、源端口、目的端口）的流量整形。
• 连接数限制：限制单个租户或项目的最大并发 TCP/UDP 连接数，防止连接耗尽攻击。

存储配额需区分以下维度：

3.4 配额配置的典型流程与工具

以下是一个基于 OpenStack 的租户级与项目级配额配置示例，展示如何通过 CLI 工具设置资源上限：

# 设置租户级配额（admin 权限）
openstack quota set \
    --cores 32 \
    --ram 131072 \
    --volumes 20 \
    --gigabytes 10240 \
    --secgroups 100 \
    --secgroup-rules 200 \
    tenant-001

# 设置项目级配额（admin 或租户管理员）
openstack quota set \
    --cores 16 \
    --ram 65536 \
    --volumes 10 \
    --gigabytes 5120 \
    --network 5 \
    --subnet 10 \
    --port 50 \
    project-a

# 查看当前配额使用情况
openstack quota show project-a

在 Kubernetes 环境中，配额通过 ResourceQuota 对象实现：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: project-b-quota
  namespace: project-b
spec:
  hard:
    requests.cpu: "8"
    requests.memory: "32Gi"
    limits.cpu: "16"
    limits.memory: "64Gi"
    persistentvolumeclaims: "10"
    requests.storage: "5Ti"
    count/services: "20"
    count/secrets: "50"

3.5 配额超分与性能隔离权衡

配额超分（overcommit）是提升资源利用率的常见手段，但过度超分会导致性能争用。下表总结了不同资源的超分建议与风险：

下图展示了配额超分场景下的资源争用与隔离机制：