如何执行Kubernetes舱单的政策？

Question

我基于Kubernetes构建了一个自助服务平台，在这里我们为每个团队创建名称空间，并允许他们“在名称空间内做他们想做的任何事情”（我们设置了资源限制，这样就没有人可以杀死整个集群）。

然而，现在我想在整个组织中实现某种标准。例如，我希望每个PodSpec都定义自己的资源限制，并且希望每个资源都有一个标签，指定它属于哪个应用程序。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
spec:
  selector:
    matchLabels:
      app: nginx
  replicas: 2
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.7.9
        ports:
        - containerPort: 80

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: foobar
spec:
  selector:
    matchLabels:
      app: nginx
  replicas: 2
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.7.9
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "1"
          requests:
            cpu: "0.5"

Answer 1

是否有一种机制允许API服务器根据一组规则检查正在应用的清单，如果检查失败，清单将被拒绝。

通常，这可以由自定义接纳控制器或者由自定义代理来解决。这取决于你的需要，可能不那么容易。

我们为每个团队创建名称空间，并允许他们“在名称空间内做他们想做的任何事情”（我们设置了资源限制，这样就没有人可以杀死整个集群）。

我希望每个PodSpec都定义自己的资源限制

据我所知，强制标签还不可能