3、资源配额基础：Kubernetes资源配额（CPU/内存/存储）概念、Namespace级别配额、LimitRange与ResourceQuota

3.1 资源配额核心概念

在 Kubernetes 集群中，资源配额（Resource Quota）是保障多租户隔离、防止资源争抢的关键机制。对于 Velero 灾备缓存命中巡检而言，理解资源配额是分析缓存 Pod 是否因资源不足被驱逐或限流的先决条件。

Kubernetes 资源配额主要管控三类资源维度：

• 计算资源：CPU（单位：m，1000m = 1 核）、内存（单位：Mi/Gi）
• 存储资源：持久卷声明（PVC）数量、各类存储类的总请求容量
• 对象数量：Pod、Service、ConfigMap、Secret 等 API 对象的最大数量

3.2 Namespace 级别配额：ResourceQuota

ResourceQuota 是 Kubernetes 内置的 API 对象，作用于 Namespace 级别。管理员通过定义 ResourceQuota 来限制一个 Namespace 内所有 Pod 的资源总和上限。

以下是一个典型的 ResourceQuota 配置示例：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: velero-cache-quota
  namespace: velero-system
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    persistentvolumeclaims: "10"
    requests.storage: "100Gi"
    count/pods: "50"

关键字段说明：

3.3 单个 Pod/容器级别约束：LimitRange

LimitRange 是 ResourceQuota 的补充机制，用于在 Pod 或容器级别设置默认资源请求/限制，以及最小/最大约束。它确保单个 Pod 不会占用过多配额，也不会因未设置资源规格而被调度器拒绝。

典型 LimitRange 配置：

apiVersion: v1
kind: LimitRange
metadata:
  name: velero-cache-limits
  namespace: velero-system
spec:
  limits:
  - max:
      cpu: "2"
      memory: "4Gi"
    min:
      cpu: "100m"
      memory: "256Mi"
    default:
      cpu: "500m"
      memory: "1Gi"
    defaultRequest:
      cpu: "200m"
      memory: "512Mi"
    type: Container

LimitRange 核心参数：

• max / min：容器资源规格的硬边界，超出则 Pod 创建失败
• default：当 Pod 未设置 limits 时，自动注入的默认限制值
• defaultRequest：当 Pod 未设置 requests 时，自动注入的默认请求值

3.4 ResourceQuota 与 LimitRange 协同关系

两者共同构成 Kubernetes 资源配额的两层防线：

协同工作流程：

1. 创建 Pod 时：LimitRange 首先校验单个容器的资源规格是否在 min/max 范围内，若未设置则注入默认值
2. 调度准入：Kubernetes 准入控制器（Admission Controller）计算该 Pod 的资源请求是否会导致 Namespace 超出 ResourceQuota 总和上限
3. 运行期：ResourceQuota 持续监控 Namespace 内资源使用总量，超出硬限制（hard）后拒绝新 Pod 创建

3.5 资源配额对 Velero 缓存 RPO 的影响

资源配额配置不当会直接导致 Velero 缓存命中率下降，进而拉长 RPO：

3.6 巡检命令速查

# 查看 ResourceQuota 定义与当前使用量
kubectl get resourcequota -n velero-system -o yaml
kubectl describe quota -n velero-system

# 查看 LimitRange 定义
kubectl get limitrange -n velero-system -o yaml

# 检查 Pod 实际资源使用是否接近配额上限
kubectl top pod -n velero-system

# 查看因配额不足导致的调度失败事件
kubectl get events -n velero-system --field-selector reason=FailedCreatePodSandBox