本文中，我們將探索Kubernetes命名空間，它是集群中組織和管理對象的一種方式。

介 紹

Kubernetes集群可以同時(shí)管理大量互不相關(guān)的工作負(fù)載，而組織通常會(huì)選擇將不同團(tuán)隊(duì)創(chuàng)建的項(xiàng)目部署到共享集群上。隨著數(shù)量的增加，部署對象常常很快就會(huì)變得難以管理，拖慢操作響應(yīng)速度，并且會(huì)增加危險(xiǎn)錯(cuò)誤出現(xiàn)的概率。

Kubernetes使用命名空間的概念幫助解決集群中在管理對象時(shí)的復(fù)雜性問題。命名空間允許將對象分組到一起，便于將它們作為一個(gè)單元進(jìn)行篩選和控制。無論是應(yīng)用自定義的訪問控制策略，還是為了測試環(huán)境而分離所有組件，命名空間都是一個(gè)按照組來處理對象、強(qiáng)大且靈活的概念。

在本文中，我們會(huì)討論命名空間的工作原理，介紹一些常用實(shí)例，并分享如何使用命名空間來管理Kubernetes對象。最后，我們還會(huì)介紹一個(gè)叫做projects(項(xiàng)目)的Rancher特性，看它是如何構(gòu)建并擴(kuò)展命名空間的概念的。

什么是命名空間，為什么它很重要？

命名空間(namespace)是Kubernetes提供的組織機(jī)制，用于給集群中的任何對象組進(jìn)行分類、篩選和管理。每一個(gè)添加到Kubernetes集群的工作負(fù)載必須放在一個(gè)命名空間中。

命名空間為集群中的對象名稱賦予作用域。雖然在命名空間中名稱必須是唯一的，但是相同的名稱可以在不同的命名空間中使用。這對于某些場景來說可能幫助很大。例如，如果使用命名空間來劃分應(yīng)用程序生命周期環(huán)境(如開發(fā)、staging、生產(chǎn))，則可以在每個(gè)環(huán)境中維護(hù)利用同樣的名稱維護(hù)相同對象的副本。

命名空間還可以讓用戶輕松地將策略應(yīng)用到集群的具體部分。你可以通過定義ResourceQuota對象來控制資源的使用，該對象在每個(gè)命名空間的基礎(chǔ)上設(shè)置了使用資源的限制。類似地，當(dāng)在集群上使用支持網(wǎng)絡(luò)策略的CNI(容器網(wǎng)絡(luò)接口)時(shí)，比如Calico或Canal(calico用于策略，flannel用于網(wǎng)絡(luò))。你可以將NetworkPolicy應(yīng)用到命名空間，其中的規(guī)則定義了pod之間如何彼此通信。不同的命名空間可以有不同的策略。

使用命名空間最大的好處之一是能夠利用Kubernetes RBAC(基于角色的訪問控制)。RBAC允許您在單個(gè)名稱下開發(fā)角色，這樣將權(quán)限或功能列表分組。ClusterRole對象用于定義集群規(guī)模的使用模式，而角色對象類型(Role object type)應(yīng)用于具體的命名空間，從而提供更好的控制和粒度。在角色創(chuàng)建后，RoleBinding可以將定義的功能授予單個(gè)命名空間上下文中的具體具體用戶或用戶組。通過這種方式，命名空間可以使得集群操作者能夠?qū)⑾嗤牟呗杂成涞浇M織好的資源集合。

常見的命名空間使用模式

命名空間是一種非常靈活的特性，它不強(qiáng)制使用特定的結(jié)構(gòu)或組織模式。不過盡管如此，還是有許多在團(tuán)隊(duì)內(nèi)常使用的模式。

將命名空間映射到團(tuán)隊(duì)或項(xiàng)目上

在設(shè)置命名空間時(shí)有一個(gè)慣例是，為每個(gè)單獨(dú)的項(xiàng)目或者團(tuán)隊(duì)創(chuàng)建一個(gè)命名空間。這和我們前面提到的許多命名空間的特性很好的結(jié)合在了一起。

通過給團(tuán)隊(duì)提供專門的命名空間，你可以用RBAC策略委托某些功能來實(shí)現(xiàn)自我管理和自動(dòng)化。比如從命名空間的RoleBinding對象中添加或刪除成員就是對團(tuán)隊(duì)資源訪問的一種簡單方法。除此之外，給團(tuán)隊(duì)和項(xiàng)目設(shè)置資源配額也非常有用。有了這種方式，你可以根據(jù)組織的業(yè)務(wù)需求和優(yōu)先級(jí)合理地訪問資源。

使用命名空間對生命周期環(huán)境進(jìn)行分區(qū)

命名空間非常適合在集群中劃分開發(fā)、staging以及生產(chǎn)環(huán)境。通常情況下我們會(huì)被建議將生產(chǎn)工作負(fù)載部署到一個(gè)完全獨(dú)立的集群中，來確保最大程度的隔離。不過對于較小的團(tuán)隊(duì)和項(xiàng)目來說，命名空間會(huì)是一個(gè)可行的解決方案。

和前面的用例一樣，網(wǎng)絡(luò)策略、RBAC策略以及配額是實(shí)現(xiàn)用例的重要因素。在管理環(huán)境時(shí)，通過將網(wǎng)絡(luò)隔離來控制和組件之間的通信能力是很有必要的。同樣，命名空間范圍的RBAC策略允許運(yùn)維人員為生產(chǎn)環(huán)節(jié)設(shè)置嚴(yán)格的權(quán)限。配額能夠確保對最敏感環(huán)境的重要資源的訪問。

重新使用對象名稱的能力在這里很有幫助。在測試和發(fā)布對象時(shí)，可以把它們放到新環(huán)境中，同時(shí)保留其命名空間。這樣可以避免因?yàn)榄h(huán)境中出現(xiàn)相似的對象而產(chǎn)生的混淆，并且減少認(rèn)知開銷。

使用命名空間隔離不同的使用者

另一個(gè)命名空間可以解決的用例是根據(jù)使用者對工作負(fù)載進(jìn)行分段。比如，如果你的集群為多個(gè)客戶提供基礎(chǔ)設(shè)施，那么按命名空間進(jìn)行分段就能夠?qū)崿F(xiàn)管理每個(gè)客戶，同時(shí)跟蹤賬單的去向。

另外，命名空間的特性可以讓你控制網(wǎng)絡(luò)和訪問策略，為你的使用者定義不同的配額。在通用的情況下，命名空間允許你為每個(gè)用戶開發(fā)和部署相同模板化環(huán)境的不同實(shí)例。這種一致性可以大大簡化管理和故障診斷的過程。

理解預(yù)配置的Kubernetes命名空間

在我們進(jìn)行創(chuàng)建命名空間之前，先討論一下Kubernetes是如何自動(dòng)設(shè)置它的。在默認(rèn)情況下，新的集群上有三個(gè)命名空間：

• default：向集群中添加對象而不提供命名空間，這樣它會(huì)被放入默認(rèn)的命名空間中。在創(chuàng)建替代的命名空間之前，該命名空間會(huì)充當(dāng)用戶新添加資源的主要目的地，無法刪除。
• kube-public：kube-public命名空間的目的是讓所有具有或不具有身份驗(yàn)證的用戶都能全局可讀。這對于公開bootstrap組件所需的集群信息非常有用。它主要是由Kubernetes自己管理。
• kube-system：kube-system命名空間用于Kubernetes管理的Kubernetes組件，一般規(guī)則是，避免向該命名空間添加普通的工作負(fù)載。它一般由系統(tǒng)直接管理，因此具有相對寬松的策略。

雖然這些命名空間有效地將用戶工作負(fù)載與系統(tǒng)管理的工作負(fù)載隔離，但它們并不強(qiáng)制使用任何額外的結(jié)構(gòu)對應(yīng)用程序進(jìn)行分類和管理。比較友好的是，創(chuàng)建和使用額外的命名空間非常簡單

使用命名空間

使用kubectl管理命名空間及其包含的資源相當(dāng)簡單。在這一節(jié)中，我們將演示一些最常見的命名空間操作，便于你開始有效地分割資源。

查看現(xiàn)有的命名空間

要顯示集群中可用的所有命名空間，使用kubectl get namespaces命令：

該命令顯示了所有可用的命名空間，無論它們是否是活躍的。此外還有資源的時(shí)長(age)。

如果想獲得更詳細(xì)的信息，使用kubectl describe命令：

Name: default

Labels: field.cattle.io/projectId=p-cmn9g

Annotations: cattle.io/status={"Conditions":[{"Type":"ResourceQuotaInit

總結(jié)

以上是生活随笔為你收集整理的kubernetes不同的命名空间下的容器能通信吗_超长干货 | Kubernetes命名空间详解的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。