Kubernetes 资源配额基础：ResourceQuota 对象详解、命名空间资源隔离、配额作用域与范围

在 Kubernetes 集群中，资源配额（ResourceQuota）是保障多租户环境下资源公平性与稳定性的核心机制。本章将深入剖析 ResourceQuota 对象的结构、命名空间级别的资源隔离原理，以及配额作用域与范围的控制逻辑，为后续基于 Kyverno 策略进行动态校准奠定基础。

1. ResourceQuota 对象详解

ResourceQuota 是一个命名空间级别的 API 对象，用于限制该命名空间中所有 Pod 或 PVC 的资源使用总量。其核心作用是防止单个命名空间或用户过度消耗集群资源，导致其他租户的服务质量下降。

1.1 对象结构与核心字段

一个标准的 ResourceQuota YAML 定义包含以下关键部分：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: compute-quota
  namespace: team-alpha
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    requests.nvidia.com/gpu: "1"
    persistentvolumeclaims: "10"
    requests.storage: "100Gi"
    count/deployments.apps: "5"
    count/services: "10"

1.2 资源类型分类

ResourceQuota 支持三类资源维度，理解其分类有助于精准制定配额策略：

• 计算资源：cpu、memory，以及扩展资源如 nvidia.com/gpu、example.com/dongle。
• 存储资源：requests.storage（所有 PVC 总容量）、persistentvolumeclaims（PVC 数量）、requests.ephemeral-storage。
• 对象数量资源：使用 count/<resource>.<group> 格式，如 count/deployments.apps、count/services、count/secrets。

2. 命名空间资源隔离

命名空间（Namespace）是 Kubernetes 实现逻辑隔离的基本单元。ResourceQuota 必须绑定到特定命名空间，从而形成资源边界。

2.1 隔离模型与资源边界

每个命名空间拥有独立的 ResourceQuota 对象，配额计算范围仅限于该命名空间内的 Pod、PVC 等资源。这种设计实现了以下隔离效果：

• 容量隔离：命名空间 A 的 Pod 无法消耗命名空间 B 的配额。
• 对象数量隔离：命名空间 A 创建 100 个 Service 不会影响命名空间 B 的 Service 配额。
• 优先级隔离：结合 PriorityClass，可以为高优先级工作负载预留配额。

2.2 多租户配额规划示例

以下表格展示了一个典型的多团队集群中，不同命名空间的配额分配方案：

3. 配额作用域与范围

ResourceQuota 的作用域（Scope）允许管理员对配额的应用范围进行精细化控制，避免“一刀切”式的限制。

3.1 内置作用域类型

3.2 作用域组合与优先级

一个 ResourceQuota 可以同时指定多个作用域，此时配额仅对同时满足所有作用域的 Pod 生效。例如：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: batch-quota
  namespace: team-alpha
spec:
  hard:
    requests.cpu: "10"
    requests.memory: "20Gi"
  scopes:
    - Terminating
    - NotBestEffort

上述配额仅对 设置了 activeDeadlineSeconds 且 QoS 等级不是 BestEffort 的 Pod 生效。这种组合非常适合管理批处理作业的资源消耗。

3.3 使用 scopeSelector 实现标签级作用域

从 Kubernetes 1.15 开始，scopeSelector 提供了基于标签的匹配能力，允许更灵活的作用域定义：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: gpu-quota
  namespace: team-alpha
spec:
  hard:
    requests.nvidia.com/gpu: "2"
  scopeSelector:
    matchExpressions:
      - key: priority
        operator: In
        values:
          - high
          - medium

此配额仅对带有 priority: high 或 priority: medium 标签的 Pod 生效，实现了基于业务优先级的 GPU 配额隔离。

4. 配额作用域与资源隔离的协同关系

为了直观展示 ResourceQuota、命名空间、作用域三者之间的协同关系，下图描绘了配额在集群中的生效路径：

5. 配额生效流程与冲突处理

当用户创建 Pod 时，Kubernetes 准入控制器（ResourceQuota Admission Controller）会按以下流程校验配额：

1. 确定作用域：根据 Pod 的 QoS 等级、activeDeadlineSeconds、标签等，判断其匹配哪些 ResourceQuota 的作用域。
2. 累加计算：将 Pod 的 requests/limits 累加到命名空间当前已用量（status.used）上。
3. 硬限制检查：如果累加后的值超过任何一项 spec.hard 限制，则拒绝创建并返回错误。
4. 更新状态：通过后，更新 status.used 并允许 Pod 调度。

6. 性能调优视角下的配额设计原则

从性能调优角度出发，ResourceQuota 的设计直接影响集群的资源利用率和调度效率：