在 Kubernetes 中，多租户是一种常见的需求，尤其是在企业级应用中。多租户可以帮助我们实现资源隔离、权限控制、账单计费等功能。本文将介绍 Kubernetes 中如何管理多租户，包括命名空间、RBAC、Network Policy 等方面的内容。
命名空间
命名空间是 Kubernetes 中最基本的多租户管理方式。通过将不同的对象（如 Pod、Service、ConfigMap 等）放在不同的命名空间下，可以实现资源隔离。Kubernetes 中默认会创建一个名为 default 的命名空间，如果没有特殊需求，我们可以将所有对象都放在这个命名空间下。
创建命名空间
可以通过 kubectl 命令行工具创建命名空间：
$ kubectl create namespace my-namespace
也可以通过 YAML 文件创建命名空间：
apiVersion: v1 kind: Namespace metadata: name: my-namespace
切换命名空间
可以使用 kubectl 命令行工具切换命名空间：
$ kubectl config set-context --current --namespace=my-namespace
也可以在 YAML 文件中指定命名空间：
apiVersion: v1 kind: Pod metadata: name: my-pod namespace: my-namespace
RBAC
除了命名空间，Kubernetes 还提供了 Role-Based Access Control（RBAC）机制，可以实现更细粒度的权限控制。RBAC 需要通过 ClusterRole、Role、ClusterRoleBinding、RoleBinding 四个对象来进行配置。
创建 ClusterRole
ClusterRole 是一种全局的角色，可以在整个集群中使用。可以通过 YAML 文件创建 ClusterRole：
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: my-cluster-role rules: - apiGroups: [""] resources: ["pods"] verbs: ["get", "list", "watch"]
这个 ClusterRole 可以授予用户对 Pod 资源的 get、list、watch 权限。
创建 Role
Role 是一种局部的角色，只能在某个命名空间中使用。可以通过 YAML 文件创建 Role：
-- -------------------- ---- ------- ----------- ---------------------------- ----- ---- --------- ----- ------- ---------- ------------ ------ - ---------- ---- ---------- -------- ------ ------- ------- --------
这个 Role 可以授予用户对 my-namespace 命名空间中的 Pod 资源的 get、list、watch 权限。
创建 ClusterRoleBinding
ClusterRoleBinding 可以将 ClusterRole 绑定到某个用户或用户组上。可以通过 YAML 文件创建 ClusterRoleBinding：
-- -------------------- ---- ------- ----------- ---------------------------- ----- ------------------ --------- ----- ----------------------- --------- - ----- ---- ----- ----- -------- ----- ----------- ----- --------------- --------- -------------------------
这个 ClusterRoleBinding 将 my-cluster-role 绑定到名为 alice 的用户上。
创建 RoleBinding
RoleBinding 可以将 Role 绑定到某个用户或用户组上。可以通过 YAML 文件创建 RoleBinding：
-- -------------------- ---- ------- ----------- ---------------------------- ----- ----------- --------- ----- --------------- ---------- ------------ --------- - ----- ---- ----- ----- -------- ----- ---- ----- ------- --------- -------------------------
这个 RoleBinding 将 my-role 绑定到名为 alice 的用户上，并限制只能在 my-namespace 命名空间中使用。
Network Policy
除了 RBAC，Kubernetes 还提供了 Network Policy 机制，可以实现基于网络的资源隔离。Network Policy 需要通过 NetworkPolicy 和 NetworkPolicySelector 两个对象来进行配置。
创建 NetworkPolicy
可以通过 YAML 文件创建 NetworkPolicy：
-- -------------------- ---- -------
----------- --------------------
----- -------------
---------
----- -----------------
-----
------------
------------
---- ------
--------
- -----
- ------------
------------
---- ------
------
- --------- ---
----- --这个 NetworkPolicy 只允许来自标签为 app=my-app 的 Pod 的 TCP 80 端口的流量访问标签为 app=my-app 的 Pod。
创建 NetworkPolicySelector
可以通过 YAML 文件创建 NetworkPolicySelector：
apiVersion: networking.k8s.io/v1
kind: NetworkPolicySelector
metadata:
name: my-network-policy-selector
spec:
podSelector:
matchLabels:
app: my-app这个 NetworkPolicySelector 指定了标签为 app=my-app 的 Pod。
示例代码
下面是一个完整的示例代码，演示了如何创建命名空间、ClusterRole、Role、ClusterRoleBinding、RoleBinding、NetworkPolicy 和 NetworkPolicySelector：
-- -------------------- ---- -------
----------- --
----- ---------
---------
----- ------------
---
----------- ----------------------------
----- -----------
---------
----- ---------------
------
- ---------- ----
---------- --------
------ ------- ------- --------
---
----------- ----------------------------
----- ----
---------
----- -------
---------- ------------
------
- ---------- ----
---------- --------
------ ------- ------- --------
---
----------- ----------------------------
----- ------------------
---------
----- -----------------------
---------
- ----- ----
----- -----
--------
----- -----------
----- ---------------
--------- -------------------------
---
----------- ----------------------------
----- -----------
---------
----- ---------------
---------- ------------
---------
- ----- ----
----- -----
--------
----- ----
----- -------
--------- -------------------------
---
----------- --------------------
----- -------------
---------
----- -----------------
-----
------------
------------
---- ------
--------
- -----
- ------------
------------
---- ------
------
- --------- ---
----- --
---
----------- --------------------
----- ---------------------
---------
----- --------------------------
-----
------------
------------
---- ------结论
本文介绍了 Kubernetes 中如何管理多租户，包括命名空间、RBAC、Network Policy 等方面的内容。通过这些机制，我们可以实现资源隔离、权限控制、账单计费等功能。对于企业级应用来说，多租户是一种必不可少的管理方式，希望本文能够对大家有所帮助。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6724ae9a2e7021665e14e10b