3. Kubernetes 资源配额基础：ResourceQuota、LimitRange 与命名空间资源管控

在 Argo CD 滚动升级场景中，资源配额的精准校准是保障集群稳定性的第一道防线。Kubernetes 通过 ResourceQuota 和 LimitRange 两个原生对象，在命名空间级别实施资源管控。理解其原理，是后续进行性能调优和滚动升级资源校准的前提。

3.1 命名空间资源管控的核心逻辑

Kubernetes 的资源管控采用分层模型：集群 → 命名空间 → Pod/Container。ResourceQuota 作用于命名空间，限制该空间内所有 Pod 的资源总和；LimitRange 则作用于单个 Pod 或 Container，设置资源请求与限制的默认值及边界。两者配合，形成“总量控制 + 单实例约束”的双重机制。

3.2 ResourceQuota 对象详解

ResourceQuota 是命名空间级别的资源配额控制器。它通过准入控制（Admission Control）拦截所有 Pod 创建请求，确保命名空间内所有容器的资源请求（requests）和限制（limits）总和不超过配额上限。

3.2.1 核心字段与配置示例

apiVersion: v1
kind: ResourceQuota
metadata:
  name: argo-rollout-quota
  namespace: argo-demo
spec:
  hard:
    requests.cpu: "10"
    requests.memory: "20Gi"
    limits.cpu: "20"
    limits.memory: "40Gi"
    count/pods: "50"
    count/deployments.apps: "20"
    count/services: "10"
    requests.storage: "100Gi"

3.3 LimitRange 对象详解

LimitRange 在命名空间级别设置 Pod 或 Container 的资源默认值及边界。当用户未显式设置资源请求/限制时，LimitRange 会自动注入默认值；同时，它还会校验用户设置的值是否在允许范围内。

3.3.1 核心字段与配置示例

apiVersion: v1
kind: LimitRange
metadata:
  name: argo-rollout-limits
  namespace: argo-demo
spec:
  limits:
  - type: Container
    defaultRequest:
      cpu: "100m"
      memory: "256Mi"
    default:
      cpu: "500m"
      memory: "512Mi"
    min:
      cpu: "50m"
      memory: "128Mi"
    max:
      cpu: "4"
      memory: "4Gi"
    maxLimitRequestRatio:
      cpu: "3"

3.4 资源管控的准入控制流程

当用户通过 Argo CD 向集群提交一个 Deployment 或 Rollout 时，Kubernetes 的准入控制器会按以下顺序执行资源校验：

1. LimitRange 校验：检查每个 Container 的 requests 和 limits 是否在 min/max 范围内；若未设置，则注入默认值。
2. ResourceQuota 校验：计算命名空间内所有 Pod 的资源总和（包括新 Pod），检查是否超过 hard 限制。
3. 对象数量校验：检查 Pod、Service、PVC 等对象数量是否超过配额。
4. 准入通过/拒绝：若任何一项校验失败，API Server 返回 403 Forbidden，Pod 创建被拒绝。

3.5 滚动升级场景下的资源配额校准要点

3.6 常见问题与避坑指南