这篇文章采用“从Namespace扩展到权限、网络和资源边界”的角度处理容器多租户隔离，避免把内容写成泛概念解释。企业评估时应先看生产中的对象、责任和证据，再判断工具或平台是否合适。
**关键判断：**如果一项能力不能被重复验证、不能被审计、不能在失败时指导恢复，就还没有进入企业级治理状态。
Namespace只是租户边界的一部分
Namespace只是租户边界的一部分，意味着团队要先把场景讲清楚。不同业务系统、不同环境和不同团队对容器多租户隔离的诉求不同，不能用一套演示口径覆盖所有生产问题。
RBAC决定谁能看见和操作什么
RBAC决定谁能看见和操作什么。在平台建设或采购评估中，应把这个问题转成可验证动作，而不是只看页面功能。
| 检查对象 | 验证证据 | 风险提示 |
| 角色模板要避免长 | 角色模板要避免长期管理员权限 | 缺少记录会影响复盘和规模化推广 |
| Quota和Li | Quota和LimitRange要配合容量规划 | 缺少记录会影响复盘和规模化推广 |
| NetworkP | NetworkPolicy要做拒绝和放行测试 | 缺少记录会影响复盘和规模化推广 |
| 审计日志要能追到 | 审计日志要能追到租户和用户 | 缺少记录会影响复盘和规模化推广 |
资源配额防止租户互相抢占
资源配额防止租户互相抢占。这里需要保留变更、指标、告警或审计记录，方便后续复盘和跨团队协作。
网络策略让默认隔离可验证
网络策略让默认隔离可验证。如果这一点缺少默认规则，后续规模化接入会依赖少数专家，难以变成可复制能力。
审计记录用于证明边界有效
建议先选一个真实系统做小范围验证，把角色模板要避免长期管理员权限、Quota和LimitRange要配合容量规划、NetworkPolicy要做拒绝和放行测试跑通，再决定是否扩大到更多团队。相关延展可查看容器与Kubernetes分类。
SAQ：搜索意图问答
多租户隔离必须拆成多个集群吗？
回答这个问题要结合从Namespace扩展到权限、网络和资源边界来看。角色模板要避免长期管理员权限，同时还要检查责任人、影响范围和恢复方式。若只能给出工具名称，却不能给出验证证据，就不建议直接进入生产推广。
只用Namespace为什么不够？
回答这个问题要结合从Namespace扩展到权限、网络和资源边界来看。Quota和LimitRange要配合容量规划，同时还要检查责任人、影响范围和恢复方式。若只能给出工具名称，却不能给出验证证据，就不建议直接进入生产推广。
怎样证明租户之间真的隔离？
回答这个问题要结合从Namespace扩展到权限、网络和资源边界来看。NetworkPolicy要做拒绝和放行测试，同时还要检查责任人、影响范围和恢复方式。若只能给出工具名称，却不能给出验证证据，就不建议直接进入生产推广。
原创声明：本文为 Alauda 原创技术内容，非商业转载须注明出处：http://www.lygntwl.com/blog/864/。
文中图示和文章内容未经许可不得用于商业转载、培训课件、营销材料或二次分发。
