Arbeitslasten mit Namespaces isolieren

Auf dieser Seite wird beschrieben, wie Sie die Zuverlässigkeit und Leistung Ihrer Cluster verbessern können, indem Sie Arbeitslasten, die im Standard-Namespace ausgeführt werden, identifizieren und in dedizierte Namespaces verschieben.

Namespaces

In Kubernetes können Sie mit Namespaces Ressourcengruppen in einem einzelnen Cluster isolieren. Ressourcennamen müssen innerhalb eines Namespace eindeutig sein, aber nicht namespaceübergreifend.

Standard-Namespace

Kubernetes erstellt beim Erstellen eines Clusters einen Namespace namens default und verwendet diesen Namespace standardmäßig für alle Ressourcen. Wir empfehlen nicht, den Namespace default für Ihre Arbeitslasten in einem Produktionscluster zu verwenden.

Wenn Sie Arbeitslasten im Namespace default bereitstellen, sind sie den folgenden Risiken ausgesetzt:

  • Die Leistung der Arbeitslast ist aufgrund von Noisy Neighbor-Problemen oder Ressourcenerschöpfung aufgrund von gemeinsam genutzten Ressourcen (CPU, Arbeitsspeicher) und Netzwerk beeinträchtigt.
  • Unterbrechungen durch versehentliche Namenskonflikte und Interaktionen zwischen Umgebungen.
  • Schwächere Sicherheitslage aufgrund unzureichender Isolation von Zugriffsberechtigungen und Netzwerk.
  • Ineffiziente Nutzung von Clusterressourcen aufgrund von Überlastung des default-Namespace im Laufe der Zeit und der Schwierigkeit, isolierte Bereinigungen durchzuführen.

Warum Arbeitslasten in dedizierten Namespaces bereitstellen?

Die Bereitstellung von Arbeitslasten in dedizierten Namespaces bietet unter anderem folgende Vorteile:

  • Höhere Zuverlässigkeit und Leistungsstabilität durch Ressourcenisolation mit namenspacegebundenen Arbeitsspeicher- und CPU-Ressourcenkontingenten, wodurch das Risiko von Noisy-Neighbor-Problemen und Ressourcenerschöpfung verringert wird.
  • Erhöhte Sicherheit mit Zugriffssteuerung auf Namespace-Ebene, die dem Prinzip der geringsten Berechtigung mit RBAC-Autorisierung> entspricht, und mit Netzwerkrichtlinien auf Namespace-Ebene, die die Netzwerkkommunikation zwischen Anwendungen isolieren.

  • Verwaltung und Betrieb vereinfachen:

    • Namenskonflikte zwischen verschiedenen Arbeitslasten oder Teams, die denselben Cluster verwenden, reduzieren.
    • Beobachtbarkeit isolieren.
    • Fehlerbehebung und Debugging eingrenzen
    • Kosten zuordnen und optimieren
    • Vorgänge auf einen bestimmten Namespace ausrichten, ohne den Rest des Clusters zu beeinträchtigen.

  • Mandantenfähigkeit zum Organisieren und Isolieren von Clusterressourcen und ‑richtlinien nach Anwendungen, Umgebungen und Teams.

Namespace default eines bestimmten Clusters prüfen

So prüfen Sie, ob in einem bestimmten Cluster Arbeitslasten im Namespace default ausgeführt werden:default

  1. Zur Seite „Arbeitslasten“

    Zu Arbeitslasten

  2. Geben Sie im Feld Cluster den Namen des Clusters ein.

  3. Geben Sie im Feld Namespace default ein.

Arbeitslast in einen dedizierten Namespace migrieren

Nachdem Sie Arbeitslasten im Namespace default identifiziert haben, migrieren Sie sie zu einem dedizierten Namespace, um eine höhere Zuverlässigkeit, eine stabilere Leistung und eine verbesserte Sicherheit zu erzielen.

Nächste Schritte