在 Kubernetes 中，Pod 是最小可部署的应用程序单元。每个 Pod 包含一个或多个紧密相关的容器，共享相同的网络命名空间和存储卷。随着 Kubernetes 的普及和应用程序的复杂性增加，Pod 的资源使用隔离变得尤为重要。在这篇文章中，我们将探索 Kubernetes 中如何隔离 Pod 的资源使用，以及如何实现这个目标。
CPU 和内存资源配额
Kubernetes 中有两种方式来限制 Pod 的 CPU 和内存资源使用：限制总资源使用和配额（Quota）。
- 限制总资源使用
通过在 Pod 规范中指定资源使用限制，可以限制 Pod 可以调度到的节点上可用的 CPU 和内存资源的总量。这个限制可以保证 Pod 上不会使用超出规定限制的资源，并且可以防止其他 Pod 在同一节点上使用太多资源。
-- -------------------- ---- -------
----------- --
----- ---
---------
----- -----------
-----
-----------
- ----- -----------------
------ -------
-------- ------ ----- ------ ----- -- ---- ------ ----- --- ------
----------
---------
---- ------
------- ------
-------
---- ------
------- -------在上面的示例中，Pod 使用了 requests 和 limits 字段来限制了容器使用 CPU 和内存的范围。request 字段用于保证 Pod 不会被调度到内存和 CPU 都小于指定限制的节点，而 limits 则可以保证容器在整个 Kubernetes 集群中使用的最高 CPU 和内存资源限制。
- 配额（Quota）
Kubernetes 中的 ResourceQuota 可以为命名空间限制总共允许消耗的 CPU、内存和持久卷空间。这个计数软限制可以保证命名空间中的所有资源都在给定的配额内，并防止容器使用超出 Quota 范围的资源。
-- -------------------- ---- -------
----------- --
----- -------------
---------
----- -------------
-----
-----
----- ----
------------- ------
---------------- -------
----------- ---
-------------- -------这个配置会为特定的命名空间设置资源配额，其中包含了 Pod、CPU 和内存以及磁盘等资源。
网络隔离
Kubernetes 中的 Network Policy 特性可以通过定义一组规则来进行网络隔离，限制 Pod 之间或者 Pod 和外网之间的网络通信。这个限制可以保护网络中的应用程序免受不同网络间的攻击。
-- -------------------- ---- -------
----------- --------------------
----- -------------
---------
----- --------------
-----
------------
------------
---- -----
------------
- ------
-------
- ---
- --------
----- ----------上面的配置，有一个 podSelector 来匹配要应用流量限制的 Pod，这里选择的标签是 app: myapp。这个 Network Policy 将只允许 Pod 访问 10.0.0.0/8 CIDR 范围内的 IP 地址。
设定 Pod 生命周期
Kubernetes 中的 PodDisruptionBudget 能帮助你设定 Pod 的生命周期，并限制因任何内部或外部事件导致 pod 停止或失败的数量。这有助于在 Pod 维护、升级和删除时避免大规模的业务影响。
-- -------------------- ---- -------
----------- --------------
----- -------------------
---------
----- -----------
-----
------------- -
---------
------------
---- -----上述配置，将定义一个如下的 PodDisruptionBudget，保证至少有一个 Pod 能够在线，并且这个 Pod 的标签必须匹配 app: myapp。
结论
在 Kubernetes 中为 Pod 隔离资源使用的方法还有很多，包括 ConfigMaps、Secrets、插件、环境变量等等。隔离 Pod 资源使用可以帮助我们保障应用程序的系统性能和安全性。
值得注意的是，设置资源时不应该自我追求最多的额外资源而放弃其他资产。实际上，更突出的是应该尽量避免过剩的资源使用，因为这可能会在 Kubernetes 中造成浪费和不必要的成本。
最后，查看 Kubernetes 的官方文档以获取更多方式和最佳实践，是我们隔离和管理 Pod 资源使用的不二选择。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f4d411c5c563ced565b7d1