k8s怎么做限制

Kubernetes (K8s) 限制资源的方式包括：资源配额、限流策略、节点选择。资源配额可以确保各个命名空间中的资源使用量不会超过设定的限额；限流策略可以限制请求的速率，防止系统过载；节点选择可以将Pod调度到特定的节点上，从而控制资源的分布。这些方法可以帮助管理和优化资源的使用，确保系统的稳定和高效。本文将详细探讨这些方法的实现和应用场景。

一、资源配额

资源配额是指为命名空间设置的资源使用限制。通过资源配额，可以防止某个命名空间中的Pod消耗过多的资源，影响其他命名空间的正常运行。资源配额主要包括CPU、内存和存储配额。

创建资源配额：首先需要创建一个资源配额对象（ResourceQuota），定义CPU、内存和存储的最大使用量。以下是一个示例：

apiVersion: v1 kind: ResourceQuota metadata: name: my-quota namespace: my-namespace spec: hard: pods: "10" requests.cpu: "4" requests.memory: "16Gi" limits.cpu: "8" limits.memory: "32Gi"

应用场景：资源配额适用于需要控制多个团队或应用在同一集群中运行时的资源使用。例如，在多租户环境中，确保各租户公平分配资源。
监控和调整：通过监控资源使用情况，定期调整资源配额，确保集群资源分配的合理性。

二、限流策略

限流策略用于限制API请求的速率，防止系统过载。Kubernetes中的限流策略可以通过NetworkPolicy和Ingress进行配置。

配置NetworkPolicy：通过NetworkPolicy，可以限制Pod间的网络流量。例如，以下是一个示例，限制命名空间my-namespace中所有Pod只能接收来自特定IP地址的流量：

apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: limit-traffic namespace: my-namespace spec: podSelector: {} ingress: - from: - ipBlock: cidr: 192.168.1.0/24

配置Ingress：通过Ingress，可以限制进入集群的外部请求。例如，使用NGINX Ingress Controller配置限流策略：

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: example-ingress namespace: my-namespace annotations: nginx.ingress.kubernetes.io/limit-rps: "10" spec: rules: - host: example.com http: paths: - path: / pathType: Prefix backend: service: name: example-service port: number: 80

应用场景：限流策略适用于防止DoS攻击、控制高流量应用的请求速率，确保系统稳定运行。

三、节点选择

节点选择是指通过标签和选择器将Pod调度到特定的节点上，控制资源的分布。主要通过nodeSelector、nodeAffinity和taints & tolerations实现。

nodeSelector：通过在Pod模板中使用nodeSelector字段，指定Pod只能调度到带有特定标签的节点上。例如：

apiVersion: v1 kind: Pod metadata: name: my-pod spec: containers: - name: my-container image: my-image nodeSelector: disktype: ssd

nodeAffinity：提供更灵活的节点选择策略，可以设置软、硬亲和性规则。例如：

apiVersion: v1 kind: Pod metadata: name: my-pod spec: containers: - name: my-container image: my-image affinity: nodeAffinity: requiredDuringSchedulingIgnoredDuringExecution: nodeSelectorTerms: - matchExpressions: - key: disktype operator: In values: - ssd preferredDuringSchedulingIgnoredDuringExecution: - weight: 1 preference: matchExpressions: - key: another-label operator: In values: - another-value

taints & tolerations：通过taints可以将节点标记为“不可用”，通过tolerations可以允许特定的Pod调度到这些节点。例如：

添加taint到节点：

kubectl taint nodes node1 key=value:NoSchedule

Pod toleration：

apiVersion: v1 kind: Pod metadata: name: my-pod spec: containers: - name: my-container image: my-image tolerations: - key: "key" operator: "Equal" value: "value" effect: "NoSchedule"

应用场景：节点选择适用于需要将特定工作负载调度到特定硬件配置节点上的场景，例如，高I/O应用需要调度到SSD节点上。

四、其他限制策略

其他限制策略包括限制Pod的副本数、限制命名空间创建、使用PodSecurityPolicies限制Pod行为等。

限制Pod副本数：可以通过Horizontal Pod Autoscaler（HPA）和Vertical Pod Autoscaler（VPA）来限制Pod的副本数。例如，使用HPA限制Pod的副本数在1到10之间：

apiVersion: autoscaling/v1 kind: HorizontalPodAutoscaler metadata: name: my-hpa namespace: my-namespace spec: scaleTargetRef: apiVersion: apps/v1 kind: Deployment name: my-deployment minReplicas: 1 maxReplicas: 10 targetCPUUtilizationPercentage: 80

限制命名空间创建：可以通过RBAC（Role-Based Access Control）来限制用户创建命名空间的权限。例如，以下是一个ClusterRole，允许用户创建Pod但不允许创建命名空间：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pod-creator
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["create"]
- apiGroups: [""]
  resources: ["namespaces"]
  verbs: []

使用PodSecurityPolicies：PodSecurityPolicies可以限制Pod的行为，例如，禁止使用特权容器、限制容器的主机路径挂载等。例如：

apiVersion: policy/v1beta1 kind: PodSecurityPolicy metadata: name: restricted spec: privileged: false volumes: - 'configMap' - 'emptyDir' - 'projected' - 'secret' - 'downwardAPI'

这些方法可以帮助管理员更加灵活和高效地管理Kubernetes集群中的资源，确保系统的稳定和安全。

相关问答FAQs：

Kubernetes (k8s) 如何进行资源限制？

在 Kubernetes 中，资源限制是确保集群资源有效使用的重要机制。Kubernetes 允许用户为每个 Pod 和容器设置 CPU 和内存限制，以防止某些应用程序过度使用集群资源，从而影响其他应用程序的性能。资源限制可以通过 Pod 的 resources 字段来配置，该字段包括 requests 和 limits 两个部分。

requests 是容器启动时所需的最小资源量。Kubernetes 根据这些请求来调度容器，确保它们运行在有足够资源的节点上。
limits 是容器可以使用的最大资源量。一旦容器的使用量达到这个限制，Kubernetes 将采取措施，如限制 CPU 使用率或终止内存使用过多的容器。

在设置资源限制时，推荐为每个容器配置适当的 requests 和 limits，以避免资源争用和性能瓶颈。可以通过在 Pod 配置文件中的 spec.containers.resources 部分添加这些设置来实现。

例如，以下配置为一个容器设置了 CPU 和内存的请求和限制：

apiVersion: v1
kind: Pod
metadata:
  name: example-pod
spec:
  containers:
  - name: example-container
    image: example-image
    resources:
      requests:
        memory: "64Mi"
        cpu: "250m"
      limits:
        memory: "128Mi"
        cpu: "500m"

通过这种方式，可以有效管理集群中的资源使用，确保每个应用程序有适当的资源进行运行。

如何使用 Kubernetes 的 LimitRange 限制 Pod 的资源？

LimitRange 是 Kubernetes 提供的一个机制，用于设置集群或命名空间级别的资源使用限制。通过定义 LimitRange 对象，管理员可以为命名空间中的所有 Pod 和容器设置默认的请求和限制值。这有助于确保资源分配的一致性，并防止个别 Pod 或容器过度消耗资源。

LimitRange 主要用于以下两种场景：

设置默认资源请求和限制：如果 Pod 的配置中未显式设置资源请求和限制，LimitRange 将为这些 Pod 自动应用默认值。
限制 Pod 和容器的资源范围：管理员可以指定资源使用的最小和最大值，防止某些容器使用过多或过少的资源。

以下是一个 LimitRange 的示例配置，它为一个命名空间中的容器设置了最小和最大 CPU、内存限制：

apiVersion: v1
kind: LimitRange
metadata:
  name: example-limit-range
  namespace: example-namespace
spec:
  limits:
  - type: Container
    defaultRequest:
      memory: "64Mi"
      cpu: "250m"
    max:
      memory: "512Mi"
      cpu: "1000m"
    min:
      memory: "32Mi"
      cpu: "100m"
    default:
      memory: "128Mi"
      cpu: "500m"

这种配置确保了命名空间内的所有容器都符合这些设置，增强了资源管理的可预测性。

如何利用 Kubernetes 的 ResourceQuota 限制集群资源？

ResourceQuota 是 Kubernetes 提供的一种机制，用于限制一个命名空间中可用的资源总量。通过设置 ResourceQuota，管理员可以控制某个命名空间中的资源使用总量，以避免个别命名空间消耗过多的集群资源。这对于集群管理和多租户环境特别重要。

ResourceQuota 可以限制以下资源类型：

计算资源：如 CPU 和内存。
存储资源：如 PersistentVolumeClaims 的数量和大小。
对象数量：如 Pod、Service、ReplicaSet 的数量。

以下是一个 ResourceQuota 的示例配置，它限制了一个命名空间中的 CPU 和内存使用总量，并限制了 Pod 和 Service 的数量：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: example-resource-quota
  namespace: example-namespace
spec:
  hard:
    pods: "10"
    services: "5"
    cpu: "4"
    memory: "8Gi"
    persistentvolumeclaims: "10"

通过这种配置，Kubernetes 将监控命名空间中的资源使用情况，并在达到配额限制时阻止创建更多的资源，从而有效管理集群中的资源分配。

关于 GitLab 的更多内容，可以查看官网文档：
官网地址： https://gitlab.cn
文档地址： https://docs.gitlab.cn
论坛地址： https://forum.gitlab.cn

原创文章，作者：极小狐，如若转载，请注明出处：https://devops.gitlab.cn/archives/60072