Kubernetes（K8S）是一个用于自动部署、扩展和管理容器化应用程序的开源平台。在K8S中，我们可以通过限制资源的方式来确保各个应用程序之间的资源分配，避免资源争夺导致的问题。K8S采用了两种限制类型，分别是资源限制（ResourceQuota）和 Pod 限制（PodSecurityPolicy）。接下来，我将详细介绍这两种限制类型。
首先，我们来看资源限制（ResourceQuota）的使用流程：
| 步骤 | 操作 |
| ------ | ------- |
| 1 | 创建命名空间（Namespace） |
| 2 | 创建 ResourceQuota 对象 |
接下来，我会逐步介绍每一步具体的操作以及相应的代码实例。
### 步骤一：创建命名空间
首先，我们需要创建一个命名空间，以用于放置需要限制资源的对象。
```yaml
apiVersion: v1
kind: Namespace
metadata:
name: my-namespace
```
### 步骤二：创建 ResourceQuota 对象
创建一个 ResourceQuota 对象来限制命名空间中各种资源的分配情况，比如 CPU、内存、存储等。
```yaml
apiVersion: v1
kind: ResourceQuota
metadata:
name: resource-limit
namespace: my-namespace
spec:
hard:
cpu: "1"
memory: 1Gi
```
在以上代码示例中，我们限制了该命名空间中的 CPU 使用量为1核，内存使用量为1GB。
接下来，我们来看第二种限制类型：Pod 限制（PodSecurityPolicy）的使用流程：
| 步骤 | 操作 |
| ------ | ------- |
| 1 | 创建 Pod 安全策略（PodSecurityPolicy） |
| 2 | 创建 ServiceAccount |
| 3 | 部署 Pod 并引用 PodSecurityPolicy |
同样，我会逐步介绍每一步具体的操作以及相应的代码实例。
### 步骤一：创建 Pod 安全策略
首先，我们需要创建一个 Pod 安全策略，定义该策略下 Pod 允许使用的安全机制。
```yaml
apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
name: my-psp
spec:
privileged: false
allowPrivilegeEscalation: false
hostPID: false
hostNetwork: false
hostIPC: false
```
### 步骤二：创建 ServiceAccount
创建一个 ServiceAccount，并将该 ServiceAccount 与 Pod 安全策略绑定。
```yaml
apiVersion: v1
kind: ServiceAccount
metadata:
namespace: my-namespace
name: my-sa
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: psp-my-sa-binding
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: psp:my-psp
subjects:
- kind: ServiceAccount
name: my-sa
namespace: my-namespace
```
### 步骤三：部署 Pod 并引用 PodSecurityPolicy
最后，我们可以部署一个 Pod 并引用前面创建的 Pod 安全策略。
```yaml
apiVersion: v1
kind: Pod
metadata:
name: sec-pod
spec:
containers:
- name: sec-container
image: nginx
securityContext:
runAsUser: 1000
runAsGroup: 1000
privileged: false
serviceAccountName: my-sa
hostNetwork: false
hostIPC: false
hostPID: false
```
在以上代码示例中，我们部署了一个名为 sec-pod 的 Pod，并引用了名为 my-psp 的 Pod 安全策略。
希望通过这篇文章，你能够了解到 K8S 中资源限制和 Pod 限制这两种限制类型的具体使用方法。在实际应用中，根据需求和安全需求可以选择合适的限制类型来保障集群的安全稳定运行。如果还有任何疑问，欢迎随时与我讨论交流。祝你学习进步，早日成为一名优秀的 K8S 开发者！
首先，我们来看资源限制（ResourceQuota）的使用流程：
| 步骤 | 操作 |
| ------ | ------- |
| 1 | 创建命名空间（Namespace） |
| 2 | 创建 ResourceQuota 对象 |
接下来，我会逐步介绍每一步具体的操作以及相应的代码实例。
### 步骤一：创建命名空间
首先，我们需要创建一个命名空间，以用于放置需要限制资源的对象。
```yaml
apiVersion: v1
kind: Namespace
metadata:
name: my-namespace
```
### 步骤二：创建 ResourceQuota 对象
创建一个 ResourceQuota 对象来限制命名空间中各种资源的分配情况，比如 CPU、内存、存储等。
```yaml
apiVersion: v1
kind: ResourceQuota
metadata:
name: resource-limit
namespace: my-namespace
spec:
hard:
cpu: "1"
memory: 1Gi
```
在以上代码示例中，我们限制了该命名空间中的 CPU 使用量为1核，内存使用量为1GB。
接下来，我们来看第二种限制类型：Pod 限制（PodSecurityPolicy）的使用流程：
| 步骤 | 操作 |
| ------ | ------- |
| 1 | 创建 Pod 安全策略（PodSecurityPolicy） |
| 2 | 创建 ServiceAccount |
| 3 | 部署 Pod 并引用 PodSecurityPolicy |
同样，我会逐步介绍每一步具体的操作以及相应的代码实例。
### 步骤一：创建 Pod 安全策略
首先，我们需要创建一个 Pod 安全策略，定义该策略下 Pod 允许使用的安全机制。
```yaml
apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
name: my-psp
spec:
privileged: false
allowPrivilegeEscalation: false
hostPID: false
hostNetwork: false
hostIPC: false
```
### 步骤二：创建 ServiceAccount
创建一个 ServiceAccount，并将该 ServiceAccount 与 Pod 安全策略绑定。
```yaml
apiVersion: v1
kind: ServiceAccount
metadata:
namespace: my-namespace
name: my-sa
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: psp-my-sa-binding
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: psp:my-psp
subjects:
- kind: ServiceAccount
name: my-sa
namespace: my-namespace
```
### 步骤三：部署 Pod 并引用 PodSecurityPolicy
最后，我们可以部署一个 Pod 并引用前面创建的 Pod 安全策略。
```yaml
apiVersion: v1
kind: Pod
metadata:
name: sec-pod
spec:
containers:
- name: sec-container
image: nginx
securityContext:
runAsUser: 1000
runAsGroup: 1000
privileged: false
serviceAccountName: my-sa
hostNetwork: false
hostIPC: false
hostPID: false
```
在以上代码示例中，我们部署了一个名为 sec-pod 的 Pod，并引用了名为 my-psp 的 Pod 安全策略。
希望通过这篇文章，你能够了解到 K8S 中资源限制和 Pod 限制这两种限制类型的具体使用方法。在实际应用中，根据需求和安全需求可以选择合适的限制类型来保障集群的安全稳定运行。如果还有任何疑问，欢迎随时与我讨论交流。祝你学习进步，早日成为一名优秀的 K8S 开发者！
