Resource Quota配额管理的核心机制

Kubernetes Resource Quota是namespace级别的资源配额控制机制，用于限制单个namespace内的资源消耗总量。多租户共享集群场景下，如果缺少配额约束，单个团队的工作负载可能耗尽整个节点甚至集群资源，导致其他业务不可用。Resource Quota可控制的资源维度包括CPU/内存请求与上限、Pod数量、Service数量、PVC存储总量、ConfigMap和Secret数量等。

配额生效的前提是Pod必须设置resources.requests字段。如果Pod未声明requests，默认不会消耗配额计数器，这意味着未声明requests的Pod可以无限制占用资源，绕过配额约束。因此生产集群应配合LimitRange设置默认requests值，堵住这个漏洞。

Resource Quota配置与生效规则

一个namespace可创建多个Resource Quota对象，它们的约束取交集生效。以下是一个典型的多租户配额配置：

apiVersion: v1
kind: ResourceQuota
metadata:
name: team-frontend-quota
namespace: team-frontend
spec:
hard:
requests.cpu: "16"
requests.memory: 32Gi
limits.cpu: "32"
limits.memory: 64Gi
pods: "50"
services: "10"
persistentvolumeclaims: "20"
requests.storage: "500Gi"
configmaps: "50"
secrets: "30"

当namespace的资源使用量达到配额硬限制时，新创建的Pod会进入Pending状态，事件信息提示FailedQuota。已有Pod的扩容操作（如HPA触发副本增加）同样受配额约束。

LimitRange设置默认值与边界约束

LimitRange与Resource Quota配合使用，为namespace内的容器设置默认resources值和上下限。未声明resources的容器自动注入默认值，确保配额计数器正常工作。

apiVersion: v1
kind: LimitRange
metadata:
name: team-frontend-limits
namespace: team-frontend
spec:
limits:
- type: Container
default:
cpu: 500m
memory: 512Mi
defaultRequest:
cpu: 100m
memory: 256Mi
max:
cpu: "4"
memory: 8Gi
min:
cpu: 50m
memory: 128Mi

LimitRange的default字段设置容器的limits默认值，defaultRequest设置requests默认值。max和min字段约束容器可声明的资源范围，超出范围的Pod创建请求直接被API Server拒绝。

多租户场景下的资源隔离策略设计

仅靠Resource Quota无法实现真正的资源隔离。一个namespace内的Pod虽然总量受控，但仍可能通过CPU密集型负载抢占同节点其他namespace的CPU时间。完整的隔离方案需要三层机制协同：

第一层：Resource Quota控制总量，防止资源超分。

第二层：Node Selector + Taint/Toleration实现节点级隔离。将高优先级租户的Pod调度到专用节点，通过Taint排斥其他租户的Pod。这牺牲了集群利用率，换取强隔离。

第三层：CPU Manager的static策略绑定CPU核。对延迟敏感型工作负载（如数据库、消息队列），将Pod的CPU requests设为整数，CPU Manager会为其分配独占的CPU核，其他Pod不会调度到这些核上。

节点级隔离配置示例：

# 为专用节点打标签和Taint
kubectl label node node-gpu01 tenant=gpu-team
kubectl taint node node-gpu01 tenant=gpu-team:NoSchedule

# 租户Pod通过Toleration调度到专用节点
apiVersion: v1
kind: Pod
metadata:
name: gpu-training-job
spec:
tolerations:
- key: tenant
operator: Equal
value: gpu-team
effect: NoSchedule
nodeSelector:
tenant: gpu-team
containers:
- name: training
image: pytorch/pytorch:latest
resources:
requests:
cpu: "8"
memory: 32Gi
limits:
cpu: "8"
memory: 32Gi

配额超限的监控告警与自动处理

Resource Quota的使用率是集群运维的关键指标。Kubernetes API Server在/resourcequota/metrics端点暴露了配额使用数据，Prometheus可通过kube-resource-quota-exporter采集。

关键告警规则：

- name: quota-alerts
rules:
- alert: NamespaceQuotaNearLimit
expr: |
(kube_resourcequota_used{resource="requests.cpu"}
/ kube_resourcequota_hard{resource="requests.cpu"}) > 0.85
for: 10m
labels:
severity: warning
annotations:
summary: "Namespace {{ $labels.namespace }} CPU配额使用率超过85%"

当配额使用率持续超过85%时触发告警，运维团队需评估是否扩容配额或优化工作负载资源声明。自动化处理方案可结合KEDA或自定义Operator，在配额紧张时自动缩减低优先级Deployment的副本数，释放资源给高优先级业务。