KCP项目核心概念解析：多租户与API管理实践指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00424/article/details/148862907

KCP项目核心概念解析：多租户与API管理实践指南

kcp KCP 是一个开源的容器存储解决方案，用于提供高可用性和高性能的 Kubernetes 存储。 * 容器存储解决方案、提供高可用性和高性能的 Kubernetes 存储 * 有什么特点：易于使用、支持多种云原生应用程序和平台、用于 Kubernetes 存储的高可用性和高性能项目地址: https://gitcode.com/gh_mirrors/kcp2/kcp

前言

在现代云原生架构中，多租户管理和API治理是两大核心挑战。本文将深入解析KCP项目中的工作空间（Workspace）和API管理机制，帮助开发者理解如何构建灵活的多租户系统并实现API的跨工作空间共享。

环境准备

开始前请确保已部署KCP服务端并配置好访问凭证。默认提供的admin.kubeconfig包含访问根工作空间(root workspace)的权限。

export KUBECONFIG=.kcp/admin.kubeconfig

工作空间基础操作

工作空间类型体系

KCP采用层次化的工作空间模型，主要包含以下几种类型：

根工作空间(root): 系统顶级工作空间，通常包含组织(organization)工作空间
组织工作空间(organization): 用于业务单元划分，可包含通用(universal)或团队(team)工作空间
通用工作空间(universal): 基础工作空间类型，包含默认命名空间
个人工作空间(home): 用户私有空间，位于root:users下

工作空间管理实践

使用kubectl ws插件可以方便地管理工作空间：

# 创建并进入组织工作空间
kubectl create workspace myorg --type organization --enter

# 在组织下创建通用工作空间
kubectl create workspace dev-team

# 切换工作空间
kubectl ws myorg:dev-team
kubectl ws ..  # 返回上级
kubectl ws -   # 返回上次访问的工作空间

API服务发布与消费

服务提供者视角

准备API资源定义:

# 使用apigen工具生成API资源定义
apigen --input-dir ./apispecs/ --output-dir ./schemas/

发布API服务:

# apiresourceschema-cowboys.wildwest.dev.yaml示例
apiVersion: apis.kcp.io/v1alpha1
kind: APIResourceSchema
metadata:
  name: v1alpha1.cowboys.wildwest.dev
spec:
  group: wildwest.dev
  names:
    plural: cowboys
    singular: cowboy
    kind: Cowboy
  scope: Namespaced
  versions:
    - name: v1alpha1
      served: true
      storage: true
      schema: {...}

创建APIExport:

# apiexport-wildwest.dev.yaml示例
apiVersion: apis.kcp.io/v1alpha1
kind: APIExport
metadata:
  name: wildwest.dev
spec:
  latestResourceSchemas:
    - v1alpha1.cowboys.wildwest.dev

服务消费者视角

绑定API服务:

apiVersion: apis.kcp.io/v1alpha1
kind: APIBinding
metadata:
  name: wildwest-apis
spec:
  reference:
    workspace:
      path: root:myorg:api-service
      exportName: wildwest.dev

使用API资源:

kubectl apply -f - <<EOF
apiVersion: wildwest.dev/v1alpha1
kind: Cowboy
metadata:
  name: lone-ranger
spec:
  weapon: revolver
EOF

高级特性解析

权限声明机制

服务提供者可以声明需要的权限，消费者可选择授权：

# 服务提供者声明
spec:
  permissionClaims:
    - group: ""
      resource: "secrets"
      verbs: ["get", "list"]
      
# 消费者授权
spec:
  permissionClaims:
    - group: ""
      resource: "secrets"
      verbs: ["get"]
      state: Accepted

服务端点发现

通过APIExportEndpointSlice实现服务端点发现：

apiVersion: apis.kcp.io/v1alpha1
kind: APIExportEndpointSlice
metadata:
  name: west-endpoints
spec:
  export:
    path: root:myorg:api-service
    name: wildwest.dev
  partition: us-west-1

架构设计思考

APIResourceSchema与CRD的区别:
- APIResourceSchema只定义API结构，不直接提供服务
- 实现了API定义与服务的解耦，支持更灵活的API演进
身份安全机制:
- 每个APIExport拥有唯一的identityHash
- 基于SHA256的哈希机制确保APIExport身份唯一性
虚拟API服务器设计:
- /clusters/*/路径支持跨工作空间操作
- 实现了逻辑上的全局资源视图