华为云对Kubernetes在Serverless Container产品落地中的实践经验

华为云容器实例服务，它基于 Kubernetes 打造，对最终用户直接提供 K8S 的 API。正如前面所说，它最大的优点是用户可以围绕 K8S 直接定义运行应用。

这里值得一提是，我们采用了全物理机的方案，对于端到端资源利用率有一个很大的提升。而在 K8S 之上我们通过一层封装实现了超规模资源池。大家知道 K8S 现开源的版本最大只能支持到5000节点，并且这是在 Google 云上的验证结果，而在很多其他的云平台往往达不到。主要是受限于底层网络和存储系统。

所以在华为云，我们的做法是通过一层封装和引入Federation来获得整体服务的超大规模。同时因为 K8S 原生多租能力非常有限，所以我们选择将额外基于租户的验证、多租限流等工作放在这一层封装中实现。但对于应用定义等接口，则是直接透传 K8S原生的API数据，只是在调用过程中增加如请求合法性等的校验。图中右侧的容器网络、容器存储，现有的开源方案是无法满足的，所以华为云采用自研的策略。

租户概念和网络隔离

前面已经讲过，K8S 原生并没有租户概念，只有一层以 Namespace 为边界的隔离。在 Namespace 这一层，除了API对象的可见性隔离，K8S 还提供了 Resource Quota（资源总和限制）以及 Limit Range（定义每个Pod、Container能使用的资源范围）等精细的配额管理能力。而在华为云上，我们设计的租户模型是：租户（用户）、项目、Namespace 三层模型，方便用户管理多个项目的开发、测试、生产等不同阶段。

网络隔离方面，采用多网络模型，一个项目中可以定义多个VPC，VPC 和 Namespace 是一对多的关系。用户可以结合实际需要将开发、测试阶段的应用部署在同个 VPC 的不同 Namespace 中便于调试和问题定位，生产环境部署在拥有单独 VPC 的 Namespace 保证不受其他活动干扰。

Runtime安全与隔离

再看 Runtime，由于是全物理机的模式，节点被不同的租户共享，普通docker容器无法满足Pod间的隔离性要求，Runtime采用的是安全容器（即早期的run