4. Helm Chart中声明资源配额：在templates/中编写ResourceQuota与LimitRange YAML、通过Values动态控制配额

在生产级 Kubernetes 集群中，资源配额（ResourceQuota）与限制范围（LimitRange）是保障多租户隔离与 Pod 稳定性最核心的准入控制机制。本章将演示如何在 Helm Chart 的 templates/ 目录中声明这两类资源，并通过 values.yaml 实现动态参数化，使同一套 Chart 能适配开发、测试、生产等不同环境的资源管控策略。

4.1 资源配额与限制范围的核心差异

4.2 在 templates/ 中编写 ResourceQuota YAML

以下是一个标准的 ResourceQuota 模板文件 templates/resourcequota.yaml，通过 .Values.quota 动态注入所有阈值：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: {{ include "myapp.fullname" . }}-quota
  namespace: {{ .Release.Namespace }}
  labels:
    {{- include "myapp.labels" . | nindent 4 }}
spec:
  hard:
    requests.cpu: {{ .Values.quota.requestsCpu | default "4" | quote }}
    requests.memory: {{ .Values.quota.requestsMemory | default "8Gi" | quote }}
    limits.cpu: {{ .Values.quota.limitsCpu | default "8" | quote }}
    limits.memory: {{ .Values.quota.limitsMemory | default "16Gi" | quote }}
    persistentvolumeclaims: {{ .Values.quota.pvcCount | default "10" }}
    pods: {{ .Values.quota.podCount | default "50" }}
    count/deployments.apps: {{ .Values.quota.deploymentCount | default "10" }}
    count/services: {{ .Values.quota.serviceCount | default "10" }}

4.3 在 templates/ 中编写 LimitRange YAML

LimitRange 模板 templates/limitrange.yaml 用于约束单个容器的资源声明范围：

apiVersion: v1
kind: LimitRange
metadata:
  name: {{ include "myapp.fullname" . }}-limits
  namespace: {{ .Release.Namespace }}
  labels:
    {{- include "myapp.labels" . | nindent 4 }}
spec:
  limits:
    - type: Container
      default:
        cpu: {{ .Values.limits.defaultCpu | default "500m" | quote }}
        memory: {{ .Values.limits.defaultMemory | default "512Mi" | quote }}
      defaultRequest:
        cpu: {{ .Values.limits.defaultRequestCpu | default "100m" | quote }}
        memory: {{ .Values.limits.defaultRequestMemory | default "128Mi" | quote }}
      max:
        cpu: {{ .Values.limits.maxCpu | default "2" | quote }}
        memory: {{ .Values.limits.maxMemory | default "2Gi" | quote }}
      min:
        cpu: {{ .Values.limits.minCpu | default "50m" | quote }}
        memory: {{ .Values.limits.minMemory | default "64Mi" | quote }}

4.4 通过 Values 动态控制配额

在 values.yaml 中定义完整的配额与限制结构，支持多环境覆盖：

# values.yaml — 默认开发环境配置
quota:
  requestsCpu: "4"
  requestsMemory: "8Gi"
  limitsCpu: "8"
  limitsMemory: "16Gi"
  pvcCount: 10
  podCount: 50
  deploymentCount: 10
  serviceCount: 10

limits:
  defaultCpu: "500m"
  defaultMemory: "512Mi"
  defaultRequestCpu: "100m"
  defaultRequestMemory: "128Mi"
  maxCpu: "2"
  maxMemory: "2Gi"
  minCpu: "50m"
  minMemory: "64Mi"

生产环境覆盖文件 values-production.yaml：

# values-production.yaml
quota:
  requestsCpu: "16"
  requestsMemory: "64Gi"
  limitsCpu: "32"
  limitsMemory: "128Gi"
  podCount: 200
  deploymentCount: 50

limits:
  maxCpu: "8"
  maxMemory: "8Gi"
  minCpu: "100m"
  minMemory: "128Mi"

部署时通过 -f 参数加载环境特定配置：

helm install myapp ./myapp-chart -f values-production.yaml --namespace production

4.5 资源配额与网络拓扑的协同关系

在 Cilium 网络拓扑中，ResourceQuota 与 LimitRange 直接影响 Pod 的 QoS 等级与网络带宽分配。下图展示了配额、限制与 Cilium 网络策略的协同工作流：

4.6 多环境配额策略对比

4.7 验证配额生效的 Helm 测试钩子

在 Chart 的 templates/tests/ 目录下添加测试 Pod，验证 ResourceQuota 与 LimitRange 是否正确加载：

# templates/tests/test-quota.yaml
apiVersion: v1
kind: Pod
metadata:
  name: {{ include "myapp.fullname" . }}-quota-test
  annotations:
    "helm.sh/hook": test
    "helm.sh/hook-delete-policy": hook-succeeded
spec:
  containers:
    - name: quota-check
      image: bitnami/kubectl:latest
      command:
        - sh
        - -c
        - |
          echo "=== ResourceQuota ==="
          kubectl get resourcequota -n {{ .Release.Namespace }}
          echo "=== LimitRange ==="
          kubectl get limitrange -n {{ .Release.Namespace }}
          echo "=== Pod QoS Check ==="
          kubectl get pod -n {{ .Release.Namespace }} -o jsonpath='{range .items[*]}{.metadata.name}{"\t"}{.status.qosClass}{"\n"}{end}'
  restartPolicy: Never

执行 helm test myapp -n production 即可自动运行上述验证，输出配额与 QoS 状态。

4.8 常见错误与排障

• 错误：failed to create resource quota: the server could not find the requested resource — 检查 Kubernetes 版本是否支持 ResourceQuota（v1.0+ 均支持）。
• 错误：exceeded quota: myapp-quota, requested: pods=1, used: pods=50, limited: pods=50 — 命名空间 Pod 数量已达上限，需调整 .Values.quota.podCount。
• 错误：container has resource requests but no limit set, and no limit range exists — 未部署 LimitRange 或 LimitRange 未设置 default 字段。
• 错误：LimitRange min memory > request memory — 容器声明的 request 小于 LimitRange 的 min 值，需调整 values 或容器声明。