Kubernetes LimitRange：命名空间资源配额管理详解

Kubernetes LimitRange：命名空间资源配额管理详解

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

概述

在 Kubernetes 集群中，容器默认可以无限制地使用计算资源（CPU、内存等）。作为集群管理员，我们需要一种机制来防止单个 Pod 或容器独占集群资源，同时确保命名空间内的资源分配合理有序。LimitRange（限制范围）正是 Kubernetes 提供的解决方案。

什么是 LimitRange？

LimitRange 是 Kubernetes 中的一种策略对象，用于约束命名空间内各种资源对象（如 Pod 和 PersistentVolumeClaim）的资源分配量。它主要提供以下功能：

1. 为 Pod 或容器设置最小和最大资源使用限制
2. 为存储声明设置最小和最大存储空间限制
3. 控制资源请求值与限制值的比例关系
4. 为未指定资源需求的容器自动设置默认请求和限制值

LimitRange 的工作原理

当命名空间中存在至少一个 LimitRange 对象时，Kubernetes 会对该命名空间内的资源分配实施以下控制：

1. 默认值注入：对于未设置计算资源需求的 Pod 及其容器，LimitRange 准入控制器会自动设置默认的请求值和限制值。

2. 资源跟踪：LimitRange 会持续跟踪资源使用情况，确保不会超出命名空间中定义的最小、最大资源使用量以及使用量比值。

3. 约束执行：如果用户尝试创建或更新违反 LimitRange 约束的对象（如 Pod 或 PersistentVolumeClaim），API 服务器会拒绝请求并返回 HTTP 403 错误。

使用场景示例

1. 基础资源限制

假设我们有一个 2 节点集群，每个节点有 8GiB 内存和 16 核 CPU。我们可以为命名空间设置以下限制：

• CPU：最小请求 100m，最大限制 500m
• 内存：最小请求 200Mi，最大限制 600Mi

2. 默认资源配置

对于没有明确指定资源需求的容器，我们可以设置默认值：

• CPU：默认请求 150m，默认限制 300m
• 内存：默认请求 300Mi

重要注意事项

1. 请求与限制的一致性：LimitRange 不会检查它应用的默认值是否一致。如果默认限制值小于容器规格中指定的请求值，Pod 将无法调度。

2. 运行时限制：LimitRange 只在 Pod 创建时进行验证，不会影响已经运行的 Pod。

3. 多 LimitRange 对象：如果命名空间中有多个 LimitRange 对象，应用的默认值将不确定。

4. 必填字段：当 LimitRange 中启用了对 CPU 和内存的限制时，创建 Pod 必须指定这些资源的请求值和限制值，否则 Pod 创建会被拒绝。

最佳实践

1. 合理设置默认值：为命名空间设置合理的默认资源请求和限制，避免资源浪费。

2. 明确限制范围：根据应用特点设置适当的资源上下限，防止单个应用占用过多资源。

3. 监控与调整：定期监控资源使用情况，根据实际需求调整 LimitRange 配置。

4. 与 ResourceQuota 配合使用：LimitRange 适合控制单个对象的资源使用，而 ResourceQuota 适合控制命名空间整体的资源使用，两者配合使用效果更佳。

总结

LimitRange 是 Kubernetes 中管理资源分配的重要工具，它帮助管理员在命名空间级别实施精细化的资源控制策略。通过合理配置 LimitRange，可以确保集群资源得到公平分配，避免资源争用问题，提高集群整体稳定性。

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website