2. ResourceQuota 入门：对象定义、作用域与生效范围、多租户资源隔离基础

ResourceQuota 是 Kubernetes 内置的准入控制机制，用于限制命名空间（Namespace）级别的聚合资源消耗。它不直接管理单个 Pod，而是对命名空间内所有 Pod 的 资源总和 进行硬性约束。理解 ResourceQuota 的对象定义、作用域与生效范围，是实现多租户资源隔离的第一步。

2.1 ResourceQuota 对象定义

一个标准的 ResourceQuota 资源清单包含 apiVersion、kind、metadata 和 spec 四个核心字段。spec.hard 字段定义资源上限，spec.scopes 字段定义配额的作用域。

apiVersion: v1
kind: ResourceQuota
metadata:
  name: compute-quota
  namespace: team-alpha
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    pods: "10"
    persistentvolumeclaims: "5"
    requests.storage: "50Gi"
  scopes:
  - NotTerminating
  - BestEffort

2.2 作用域与生效范围

ResourceQuota 的生效范围由 scopes 字段控制。如果不指定 scopes，则配额对命名空间内 所有 Pod 生效。Kubernetes 内置了四种作用域，用于精细化控制配额覆盖的 Pod 类别：

2.3 多租户资源隔离基础

在 Kubernetes 中，多租户资源隔离的基石是 命名空间 + ResourceQuota + LimitRange 的组合。ResourceQuota 负责总量控制，LimitRange 负责单个 Pod 的边界约束。两者配合，可以防止租户（团队）之间互相抢占资源。

2.4 多租户隔离最佳实践

• 命名空间隔离： 每个租户（团队、项目）使用独立的 Namespace，配合 RBAC 控制访问权限。
• ResourceQuota 总量控制： 为每个 Namespace 设置 CPU、内存、存储、Pod 数量的硬上限，防止单个租户耗尽集群资源。
• LimitRange 边界约束： 设置单个 Pod 的最小/最大资源请求，避免租户内部出现极端资源申请。
• 作用域精细化： 使用 BestEffort 和 NotBestEffort 作用域，对离线任务和在线服务分别设置配额。
• 监控与告警： 定期检查 kubectl describe quota 输出的 Used 字段，当使用率超过 80% 时触发告警。

# 查看命名空间内的所有 ResourceQuota
kubectl get resourcequota -n team-alpha

# 查看配额使用详情（Used / Hard）
kubectl describe quota compute-quota -n team-alpha

# 输出示例：
# Name:            compute-quota
# Namespace:       team-alpha
# Resource         Used  Hard
# --------         ---   ----
# requests.cpu     2.5   4
# requests.memory  5Gi   8Gi
# limits.cpu       4     8
# limits.memory    10Gi  16Gi
# pods             6     10

2.5 常见误区与避坑