【Kubernetes知识点问答题】资源配额 / 访问控制

目录1. 解释 ResourceQuota 的作用。2. 解释 Service Account 的用途。3. 详细解释 Role 和 ClusterRole。4. 什么是 K8s 的 NetworkPolicy5. 详细描述在 K8s 中如何控制跨 Namespace 的 Pod 访问总结在 KubernetesK8s中管理集群资源、控制访问和网络流量是每个开发者和运维工程师必须掌握的技能。本文将从资源配额、服务账号、角色权限到网络策略带你全面了解 Kubernetes 的核心控制机制。1. 解释 ResourceQuota 的作用。在一个共享集群中不同用户或团队可能争用有限的计算资源。Kubernetes 提供了ResourceQuota资源配额来解决这个问题。通过 ResourceQuota可以限制每个命名空间的资源使用总量例如限制 Pod、Service、ConfigMap 等对象的数量上限限制命名空间中 Pod 可使用的 CPU、内存等计算资源总量这保证了即使多人共享同一集群也不会有人“吃掉”超出公平分配的资源实现资源的合理调度和控制。2. 解释 Service Account 的用途。Pod 的身份标识当 Pod 内运行的进程需要调用 Kubernetes API 或其他服务时需要身份认证。Service Account服务账号就是为 Pod 提供这种身份标识Pod 与 ServiceAccount 对象绑定Pod 内的应用使用该账号向 API 服务器进行认证Kubernetes 根据 ServiceAccount 来识别 Pod 的权限可以把 Service Account 理解为 Pod 的“身份证”让 Pod 可以安全、受控地访问 API 和外部服务。3. 详细解释 Role 和 ClusterRole。Kubernetes 提供基于角色的访问控制RBAC来管理集群资源权限主要对象包括 Role、ClusterRole、RoleBinding 和 ClusterRoleBindingRole命名空间级别的角色用于在特定命名空间中定义权限ClusterRole集群级别角色可在整个集群中使用Role 与 ClusterRole 的区分在于作用范围Role 是命名空间内ClusterRole 是集群范围4. 什么是 K8s 的 NetworkPolicy默认情况下Pod 是非隔离的可以接收来自任何来源的流量。NetworkPolicy网络策略可以控制 Pod 的网络访问可以指定允许访问的 Pod、命名空间或 IP 范围支持入站Ingress和出站Egress规则多条 NetworkPolicy 会累积生效确保安全策略不会冲突Pod 被至少一条 NetworkPolicy 选中后进入“隔离状态”只允许被策略明确允许的流量源端 Pod 出站规则和目标 Pod 入站规则都必须允许通信才会被允许5. 详细描述在 K8s 中如何控制跨 Namespace 的 Pod 访问默认情况下Pod 接受所有流量不受限制一旦 Pod 被 NetworkPolicy 选中它将拒绝未允许的流量若要允许两个 Pod 之间的通信源 Pod 的出站规则和目标 Pod 的入站规则必须都允许通过这种方式Kubernetes 能够实现跨命名空间的网络安全管理同时保证灵活性。总结Kubernetes 的核心资源管理和访问控制体系包括ResourceQuota保障资源公平分配Service AccountPod 的身份认证机制Role / ClusterRole精细化权限控制NetworkPolicyPod 网络隔离与访问控制