从零开始掌握 Kubernetes Namespace：高效管理集群资源

1. 开发与生产环境隔离

在企业应用中，经常需要区分开发环境（development）和生产环境（production）。通过创建两个不同的 Namespace，可以轻松将两者隔离，确保开发环境的变动不会影响生产环境。

配置示例：

apiVersion: v1
kind: Namespace
metadata:
  name: dev
---
apiVersion: v1
kind: Namespace
metadata:
  name: prod

创建命令：

kubectl create -f dev-namespace.yaml
kubectl create -f prod-namespace.yaml

创建 Pod 到不同的 Namespace 中：

kubectl create -f nginx.yaml -n dev
kubectl create -f nginx.yaml -n prod

通过这种方式，同样的应用可以在不同的环境中运行且互不干扰。

# 查询开发环境的 Pod
kubectl get pod -n dev
# 查询生产环境的 Pod
kubectl get pod -n prod

2. 多团队协作的资源隔离

假设有两个团队分别开发不同的项目，团队A 和团队B 需要在同一个 Kubernetes 集群中工作，但他们的资源需要完全隔离。可以为每个团队创建独立的 Namespace。

配置示例：

apiVersion: v1
kind: Namespace
metadata:
  name: team-a
---
apiVersion: v1
kind: Namespace
metadata:
  name: team-b

创建命令：

kubectl create namespace team-a
kubectl create namespace team-b

每个团队可以在自己的 Namespace 中创建和管理资源：

# 在 team-a 中创建 Pod
kubectl create -f app-a.yaml -n team-a
# 在 team-b 中创建 Pod
kubectl create -f app-b.yaml -n team-b

这样可以确保团队之间的资源不会冲突或互相影响，极大提升了协作效率。

3. 系统级与用户级资源隔离

在 Kubernetes 集群中，像 kube-system 这样的 Namespace 通常用于运行集群内部的核心服务，比如 DNS、存储插件等。这些资源与用户创建的应用应该严格隔离。

查看 kube-system 中的资源：

kubectl get pod -n kube-system

创建用户级资源：

用户可以在 default 或自定义的 Namespace 中创建自己的应用，而不会影响到 kube-system 中的核心服务。

kubectl create -f user-app.yaml -n default

这样做确保了系统服务的稳定性，用户资源的变动不会对集群基础设施造成影响。

4. 基于项目的多租户隔离

如果一个公司内部多个项目共用同一个集群，每个项目可以通过独立的 Namespace 来进行资源管理和隔离，确保不同项目之间的安全性和隔离性。

配置示例：

apiVersion: v1
kind: Namespace
metadata:
  name: project-a
---
apiVersion: v1
kind: Namespace
metadata:
  name: project-b

每个项目在它们各自的 Namespace 中创建服务：

kubectl create -f service-a.yaml -n project-a
kubectl create -f service-b.yaml -n project-b

项目之间的资源互不影响，确保了多租户的环境下，项目的资源隔离和安全性。

5. 网络隔离与资源隔离结合

在某些情况下，你不仅希望在逻辑上隔离资源，还希望对网络进行隔离。尽管 Namespace 本身不提供完全的网络隔离，但可以结合 Kubernetes 的 NetworkPolicy 来实现更加严格的隔离。

配置示例：

apiVersion: v1
kind: Namespace
metadata:
  name: secure-app

创建 NetworkPolicy 来限制网络访问：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
  namespace: secure-app
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

这种方式可以确保某些敏感应用在特定的 Namespace 中运行，并通过网络策略进一步增强隔离性。

非常感谢您读到这里！如果您觉得这篇文章对您有帮助，可以关注一下博主。关注后，您将第一时间获得最新的AI、云计算、运维（Linux、数据库，容器等）技术，以及更多实用的技能干货。

学习成功人士的经验，提供全面的学习资源和社群支持，多种副业选择，总有一个适合你。

本文由mdnice多平台发布