Namespace Kubernetes
Простыми словами
Два проекта могут иметь сервис с одинаковым именем, если находятся в разных namespaces. Это похоже на отдельные папки, но создание папки ещё не закрывает доступ к её содержимому и сети.
Как применяется
Пространства имён используют для команд, сред разработки и отдельных приложений. Реальное разграничение строят совместно с RBAC, NetworkPolicy, квотами и правилами допуска Pod. Узлы и некоторые другие ресурсы имеют область кластера и в namespace не помещаются.
Пример применения
Разработку и рабочую среду размещают в разных namespaces. Разработчикам выдают права только на тестовую среду, для Pod ограничивают сетевые соединения, задают квоты. Для недоверенных арендаторов дополнительно оценивают отдельные кластеры: общее ядро узлов остаётся общим риском.
Не путать с
- Кластер KubernetesОбъединяет узлы и плоскость управления; namespace существует внутри него.
- NetworkPolicyОграничивает сетевые связи выбранных Pod; namespace сам трафик не блокирует.
- КонтейнерИсполняемая среда процесса, а не область группировки объектов API.
Как это работает
- Выделить пространствоОпределяют команду, приложение или среду и создают namespace.
- Разграничить API-доступНазначают роли и привязки только нужным субъектам.
- Настроить ограниченияДобавляют квоты, правила запуска и сетевые политики.
- Испытать границыПроверяют доступ из соседней среды и последствия общих кластерных ресурсов.
Продолжить изучение
Связанные термины
Частые вопросы
Нет, стандартные namespaces не образуют вложенной иерархии.
Они изолируют сеть автоматически?Нет. Нужны сетевые политики и поддерживающая их реализация сети.
Удаление namespace безопасно?Оно затрагивает содержащиеся ресурсы. Перед операцией проверяют зависимости и порядок сохранения данных.