K8s 多租户管理

news2024/11/19 20:43:38

一、K8s 多租户管理

多租户是指在同一集群中隔离多个用户或团队，以避免他们之间的资源冲突和误操作。在K8s中，多租户管理的核心目标是在保证安全性的同时，提高资源利用率和运营效率。

在K8s中，该操作可以通过命名空间（Namespaces）+ RBAC角色权限控制实现资源的隔离。每个租户都可以拥有自己的命名空间，从而避免资源名称的冲突。此外，通过资源配额（Resource Quotas）和限制范围（Limit Ranges），进一步确保每个租户只能使用一定量的计算资源，如CPU、内存，以及API对象的数量等。通过RBAC，为每个租户或用户组分配不同的角色和权限，从而确保他们只能访问和操作他们有权管理的资源。

例如下图所示，这是一个简单的多租户案例，租户A仅能操控命名空间 ns1 中的资源，而租户B也只能操控命名空间 ns2 中的资源，对于对方的的资源均无法操作。并且每个租户的资源也不是无限使用的，通过资源配额为每个命名空间限制了使用额度，这样就不会因为某一个租户资源使用过大影响其他租户的应用。

在这里插入图片描述

下面开始实践下上图中的结构。

二、创建租户

1. 创建租户的命名空间

这里创建两个命名空间，下面分配给租户A和租户B使用：

kubectl create ns ns1
kubectl create ns ns2

2. 对两个命名空间进行资源配额

vi ns_rq.yml

apiVersion: v1
kind: ResourceQuota
metadata:
  name: ns1-rq
  namespace: ns1
spec:
  hard:
    requests.cpu: "2"
    requests.memory: 2Gi
    limits.cpu: "4"
    limits.memory: 4Gi
    pods: "200"
    services: "50"
    persistentvolumeclaims: "30"
    secrets: "100"
    configmaps: "100"
---
apiVersion: v1
kind: ResourceQuota
metadata:
  name: ns2-rq
  namespace: ns2
spec:
  hard:
    requests.cpu: "2"
    requests.memory: 2Gi
    limits.cpu: "4"
    limits.memory: 4Gi
    pods: "200"
    services: "50"
    persistentvolumeclaims: "30"
    secrets: "100"
    configmaps: "100"

上面控制了cpu和内存的请求总和大小，以及一些资源的数量。

注意：这里为了方便后续的测试 cpu 和 内存 都给的比较少，根据你实际的情况进行配置。

kubectl apply -f ns_rq.yml

3. 创建租户A和租户B，指定命名空间，并分配权限

vi user.yml

# 创建租户
apiVersion: v1
kind: ServiceAccount
metadata:
  name: user-a
  namespace: ns1
---
# 分配操作权限
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: user-a-role
  namespace: ns1
rules:
  - apiGroups:
      - apps
      - ''
    resources:
      - deployments
      - replicasets
      - statefulsets
      - daemonsets
      - services
      - pods
      - pods/log
      - pods/exec
      - namespaces
      - configmaps
      - secrets
      - endpoints
      - storageclasss
      - persistentvolumes
      - persistentvolumeclaims
      - jobs
      - daemonsets
      - cronjobs
    verbs:
      - list
      - get
      - watch
      - create
      - update
      - delete
      - patch
      - edit
      - view

---
# 绑定用户
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: user-a-role-bd
  namespace: ns1
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: user-a-role
subjects:
- kind: ServiceAccount
  name: user-a
  namespace: ns1

---
# 创建租户
apiVersion: v1
kind: ServiceAccount
metadata:
  name: user-b
  namespace: ns2
---
# 分配操作权限
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: user-b-role
  namespace: ns2
rules:
  - apiGroups:
      - apps
      - ''
    resources:
      - deployments
      - replicasets
      - statefulsets
      - daemonsets
      - services
      - pods
      - pods/log
      - pods/exec
      - namespaces
      - configmaps
      - secrets
      - endpoints
      - storageclasss
      - persistentvolumes
      - persistentvolumeclaims
      - jobs
      - daemonsets
      - cronjobs
    verbs:
      - list
      - get
      - watch
      - create
      - update
      - delete
      - patch
      - edit
      - view

---
# 绑定用户
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: user-b-role-bd
  namespace: ns2
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: user-b-role
subjects:
- kind: ServiceAccount
  name: user-b
  namespace: ns2

kubectl apply -f user.yml

3. 查看租户 A 和 租户B 的 Token

查看租户A：

echo $(kubectl -n ns1 get secret $(kubectl -n ns1 get secret | grep user-a | awk '{print $1}') -o go-template='{{.data.token}}' | base64 -d)

在这里插入图片描述

查看租户B：

echo $(kubectl -n ns2 get secret $(kubectl -n ns2 get secret | grep user-b | awk '{print $1}') -o go-template='{{.data.token}}' | base64 -d)

在这里插入图片描述

下面就可以将用户名、token、master 的地址给到具体租户去使用了，例如：

租户：user-a

token：eyJhbGciOiJSUzI1NiIsImtpZCI6IlA5SnRxTkVjcGV3bVdmeWV5SHo0VFBSaXdWVVYwWGMzNmYtY1NZMVRwYkUifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJuczEiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlY3JldC5uYW1lIjoidXNlci1hLXRva2VuLWx3Yjc4Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZXJ2aWNlLWFjY291bnQubmFtZSI6InVzZXItYSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6IjRhZTUwZWI4LThhMTEtNDQ2Yy05NTEyLWE1MmI3NzMxNDNlMSIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpuczE6dXNlci1hIn0.LI72bJeJERegwnwkAp8AKlvplcJMrhhYvr6K70dtQ02MXepbhVtouB_1yUiZODQZvyaRgrbgFUhEzVFB6YunB7cm2WH2blOaj_3hvuLw9FZRQ7IWmeKV7a07aviUg58ZGlrdOzUXYKNBT-A3y1zb6XrHOXNSiOZjHwQob1ft1GOM04bu7GnO6docgDXjQ0h6knpiwNFUqG-I9tI9I52dUOsUbxnhyrCzxUIJsfa2eoHOP-mz3m8ud-WLFwaOmH0G49STZnmkWs2pJJqBqP0LRJ_fs2gmgS6kMITwxraR81kBXywmVi6szNReX74fHhNVyNa-kE0gZSG6S9C-uqEJUw
master-server：https://11.0.1.144:6443

三、租户使用测试

使用 kubectl 指向提供的集群，如果已经指定可不设置：

kubectl config set-cluster cluster --insecure-skip-tls-verify=true --server=https://11.0.1.144:6443

在这里插入图片描述

设置租户的 token：

格式：kubectl config set-credentials {租户名} --token={token}

kubectl config set-credentials user-a --token=eyJhbGciOiJSUzI1NiIsImtpZCI6IlA5SnRxTkVjcGV3bVdmeWV5SHo0VFBSaXdWVVYwWGMzNmYtY1NZMVRwYkUifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJuczEiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlY3JldC5uYW1lIjoidXNlci1hLXRva2VuLWx3Yjc4Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZXJ2aWNlLWFjY291bnQubmFtZSI6InVzZXItYSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6IjRhZTUwZWI4LThhMTEtNDQ2Yy05NTEyLWE1MmI3NzMxNDNlMSIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpuczE6dXNlci1hIn0.LI72bJeJERegwnwkAp8AKlvplcJMrhhYvr6K70dtQ02MXepbhVtouB_1yUiZODQZvyaRgrbgFUhEzVFB6YunB7cm2WH2blOaj_3hvuLw9FZRQ7IWmeKV7a07aviUg58ZGlrdOzUXYKNBT-A3y1zb6XrHOXNSiOZjHwQob1ft1GOM04bu7GnO6docgDXjQ0h6knpiwNFUqG-I9tI9I52dUOsUbxnhyrCzxUIJsfa2eoHOP-mz3m8ud-WLFwaOmH0G49STZnmkWs2pJJqBqP0LRJ_fs2gmgS6kMITwxraR81kBXywmVi6szNReX74fHhNVyNa-kE0gZSG6S9C-uqEJUw

在这里插入图片描述

设置 context ，指定默认的命名空间名称：

kubectl config set-context user-context --cluster=cluster --user user-a --namespace=ns1

在这里插入图片描述

切换到上面的 context 中：

kubectl config use-context user-context

在这里插入图片描述

测试访问其他命名空间的资源

查看 ns2 下有哪些 pod ：

kubectl get pods -n ns2

在这里插入图片描述

可以看出无法访问。

测试创建资源，申请配额大于限制时

vi test-nginx.yml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx
  
spec:
  replicas: 3
  selector:
    matchLabels:
      run: nginx
  template:
    metadata:
      labels:
        run: nginx
    spec:
      containers:
      - image: nginx:1.20.1
        name: nginx
        ports:
        - containerPort: 80
          protocol: TCP
        resources: 
          limits:  
            cpu: "2" 
            memory: "2Gi" 
          requests: 
            cpu: "1"  
            memory: "1Gi"

kubectl apply -f test-nginx.yml

查看 pod：

kubectl get pods

在这里插入图片描述

可以看到仅创建成功了两个 pod，因为资源已经使用完了。

可以通过管理员查看 ns 空间的配额情况：

kubectl get quota -n ns1

在这里插入图片描述

可以看到都已经使用满了。

如果此时管理员给 ns1 空间提高配额：

kubectl edit resourcequota ns1-rq -n ns1

在这里插入图片描述

更新服务：

kubectl apply -f test-nginx.yml

等待片刻后，使用租户A再次查看pod：

在这里插入图片描述

pod 已经全部起来了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1663760.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

代码随想录算法训练营第六十三天| LeetCode84. 柱状图中最大的矩形

代码随想录算法训练营第六十三天| LeetCode84. 柱状图中最大的矩形

一、LeetCode 84. 柱状图中最大的矩形 题目链接/文章讲解/代码讲解：https://programmercarl.com/0084.%E6%9F%B1%E7%8A%B6%E5%9B%BE%E4%B8%AD%E6%9C%80%E5%A4%A7%E7%9A%84%E7%9F%A9%E5%BD%A2.html 状态：已解决 1.思路 这道题跟上道接雨水的题基本上是反…
阅读更多...
掌握这些服务器知识点，你可以在领导面前吹一波了！

掌握这些服务器知识点，你可以在领导面前吹一波了！

如何保证服务器可以支持百万用户访问？服务器品牌有哪些？如何选购服务器？对于这些问题，今天我们就一起来看下关于服务器的相关知识。 假如你开发了一个网站或者一个app把他放到服务器上，之后你把它发布到了网上&#x…
阅读更多...
机器学习面试篇

机器学习面试篇

如何理解机器学习数据集的概念 数据集是机器学习的基础，它包括了用于训练和测试模型所需的数据。数据集通常以矩阵的形式存在，其中每一行代表一个样本（或实例），每一列代表一个特征（或属性）。…
阅读更多...
云效 Pipeline as Code 来了！这些场景，用好它效率翻倍！

云效 Pipeline as Code 来了！这些场景，用好它效率翻倍！

从可视化编排到支持 YAML 编排 云效流水线 Flow 是开箱即用的企业级持续集成和持续交付工具，支持丰富的代码源、构建、自动化测试工具、多种部署类型和部署方式，与阿里云深度集成，还提供多种企业级特性，助力企业高效完成从开发到…
阅读更多...
亚信安全发布《2024年第一季度网络安全威胁报告》

亚信安全发布《2024年第一季度网络安全威胁报告》

亚信安全2024年第一季度网络安全威胁报告 一季度威胁概览 《亚信安全2024年第一季度网络安全威胁报告》的发布旨在从一个全面的视角解析当前的网络安全威胁环境。此报告通过详尽梳理和总结2024年第一季度的网络攻击威胁，目的是提供一个准确和直观的终端威胁感知。…
阅读更多...
企业设置，支持自定义短信签名

企业设置，支持自定义短信签名

05/08 主要更新模块概览 自动换行 启动封面 使用统计 短信签名 01表单管理 1.1 【表单外链】- 查询外链支持多个外链 说明： 表单查询外链原仅支持一个，现支持增加多个外链功能&…
阅读更多...
Ring-Switch Field-Switch

Ring-Switch Field-Switch

参考文献： [GHPS12] Gentry C, Halevi S, Peikert C, et al. Ring switching in BGV-style homomorphic encryption[C]//International Conference on Security and Cryptography for Networks. Berlin, Heidelberg: Springer Berlin Heidelberg, 2012: 19-37.[GHP…
阅读更多...
【git】通过JetNrains IDE对git的操作

【git】通过JetNrains IDE对git的操作

应该适用于所有jetbrains产品。 一、拉取(pull)代码 上方工具栏-Git-克隆。然后填写git地址与本地存放地址。 二、搁置 修改代码后搁置代码（不提交，但是也不撤销已修改的代码，把它暂存起来）。 界面的左上角。1->2->3。完事就可以写换到其他分支肆意妄为^^。 三…
阅读更多...
【JAVA |开篇】JAVA入门及JDK环境配置

【JAVA |开篇】JAVA入门及JDK环境配置

目录 一、JIAVA语言 二、Java开发环境安装 三、初识Java的main方法 四、注释 一、JIAVA语言 Java 是一种优秀的程序设计语言 ，它具有令人赏心悦目的语法和易于理解的语义 Write once, Run anywhere（这句话体现了JAVA语言的核心，一次运行 任…
阅读更多...
能恢复永久删除文件的十大数据恢复软件

能恢复永久删除文件的十大数据恢复软件

当您不小心删除了重要数据，或者由于病毒攻击而丢失了重要数据时，请不要惊慌，我们已经为您准备好了。别无他处，这是您目前市场上最佳数据恢复软件列表的一站式目的地。 能恢复永久删除文件的十大数据恢复软件 1. 奇客数据恢复 这是…
阅读更多...
怎么制作流程图？介绍制作方法

怎么制作流程图？介绍制作方法

怎么制作流程图？在日常生活和工作中，流程图已经成为我们不可或缺的工具。无论是项目规划、流程优化，还是学习理解复杂系统，流程图都能帮助我们更直观地理解和表达信息。然而，很多人可能并不清楚，其实制作流…
阅读更多...
Android 如何启用user版本的adb源码分析

Android 如何启用user版本的adb源码分析

通过adb shell中执行getprop persist.sys.usb.config，可以看到系统usb的相关选项，persist.sys.usb.config显示的就是当前系统关于usb选项的系统配置【RK3188Android4.4刚移植的例子】: 全编脚本中make命令会调用build/core/main.mk,在里面可以看到一段…
阅读更多...
品鉴中的平衡之美：如何欣赏红酒的口感与风格和谐

品鉴中的平衡之美：如何欣赏红酒的口感与风格和谐

品鉴云仓酒庄雷盛红酒的过程，是对其口感与风格和谐的追求和欣赏。平衡是红酒品质的重要标志之一，它体现在红酒的色泽、香气、口感和余味等多个方面。通过欣赏红酒的平衡之美，我们可以更好地领略其精妙之处，感受其带来的美妙滋味。…
阅读更多...
sql-labs(11-20)

sql-labs(11-20)

1.less-11 1.判断类型 根据测试在使用 " 不会报错， 会报错，所以他是字符型的并且被单引号闭合，而且只有用户 登陆成功才会显示数据。所以先尝试报错注入 2.爆数据库 and updatexml(2,concat(0x7e,(select database()),0x7e),2)-- 3.爆数…
阅读更多...
C++笔试强训day16

C++笔试强训day16

目录 1.字符串替换 2.神奇数 3.DNA序列 1.字符串替换 链接 简单的遍历替换即可&#xff1a; class Solution { public:string formatString(string str, vector<char>& arg) {string ret;int k 0;for (int i 0; i < str.size(); i){if (str[i] %){ret arg…
阅读更多...
表格内容高效拆分，自定义行数随心所欲，让数据处理更高效！

表格内容高效拆分，自定义行数随心所欲，让数据处理更高效！

在信息化社会的今天&#xff0c;表格成为了我们处理数据、整理信息的重要工具。然而&#xff0c;当表格内容过于庞大时&#xff0c;如何高效地拆分表格内容成为了摆在我们面前的一大难题。传统的拆分方法往往耗时耗力&#xff0c;且难以满足我们个性化的需求。 首先&#xff0…
阅读更多...
Q1季度空气净化器行业线上市场（京东天猫淘宝）销售数据分析

Q1季度空气净化器行业线上市场（京东天猫淘宝）销售数据分析

随着人们对健康生活方式的追求&#xff0c;以及消费升级的推动&#xff0c;空气净化器市场正在逐步恢复增长态势。 根据鲸参谋数据显示&#xff0c;今年Q1季度空气净化器在线上市场&#xff08;京东天猫淘宝&#xff09;综合销量超90万件&#xff0c;同比去年增长4%&#xff1…
阅读更多...
【配置】IT-Tools部署

【配置】IT-Tools部署

github地址 docker运行如下&#xff0c;记得打开云服务器的9090端口 docker run -d --name it-tools --restart unless-stopped -p 9090:80 corentinth/it-tools:latestip:9090查看&#xff0c;很香大部分工具都有
阅读更多...
react18【系列实用教程】useEffect —— 副作用操作 （2024最新版）

react18【系列实用教程】useEffect —— 副作用操作 （2024最新版）

什么是副作用操作&#xff1f; useEffect 用于编写由渲染本身引起的对接组件外部的操作&#xff08;官方称呼为&#xff1a;副作用操作&#xff09; 以下情况会触发页面渲染 初次加载页面&#xff08;组的挂载&#xff09;响应式变量发生变化&#xff0c;触发页面根据新值重新…
阅读更多...
代码随想录算法训练营第二十天：二叉树成长

代码随想录算法训练营第二十天：二叉树成长

代码随想录算法训练营第二十天&#xff1a;二叉树成长 110.平衡二叉树 力扣题目链接(opens new window) 给定一个二叉树&#xff0c;判断它是否是高度平衡的二叉树。 本题中&#xff0c;一棵高度平衡二叉树定义为&#xff1a;一个二叉树每个节点 的左右两个子树的高度差的绝…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023