clastix/capsule

Capsule：简化Kubernetes多租户管理

镜像概述和主要用途

Capsule是一个在Kubernetes集群中实现多租户和基于策略环境的框架。它采用微服务生态系统设计，遵循极简主义方法，仅依赖上游Kubernetes。通过将多个命名空间聚合为轻量级的“租户”抽象，Capsule解决了Kubernetes原生命名空间结构扁平、资源共享困难的问题，同时避免了因多团队使用而导致的集群蔓延现象。

当前现状的问题

Kubernetes通过“命名空间”对象类型创建集群的逻辑分区，作为隔离的“切片”。然而，在实现高级多租户场景时，由于Kubernetes命名空间的扁平结构以及同租户命名空间间无法共享资源的限制，很快变得复杂。为解决此问题，集群管理员往往为每个用户组、团队或部门 provision 专用集群。随着组织增长，需管理和保持对齐的集群数量成为运维难题，即“集群蔓延”现象。

Capsule的解决方案

Capsule采用不同的方法：在单个集群中，Capsule控制器将多个命名空间聚合为名为“租户”的轻量级抽象（本质上是Kubernetes命名空间的分组）。在每个租户内，用户可自由创建命名空间并共享所有已分配资源。

另一方面，Capsule策略引擎确保不同租户间的隔离。在租户级别定义的“网络和安全策略”“资源配额”“限制范围”“RBAC”等策略会自动被租户内所有命名空间继承。用户可自主操作其租户，无需集群管理员干预。

核心功能与特性

自助服务

允许开发人员在分配的边界内自主 provision 集群资源。

防止集群蔓延

通过多团队、用户组或部门共享单个集群，减少运维和管理成本。

治理

利用Kubernetes准入控制器强制执行行业安全最佳实践，满足策略要求。

资源控制

控制用户消耗的资源，防止资源滥用。

原生体验

提供多租户功能的同时，保持原生Kubernetes体验，不引入额外管理层、插件或自定义二进制文件。

GitOps就绪

完全声明式设计，支持GitOps流程。

资源隔离（BYOD）

为租户分配专用的计算、存储和网络资源集，避免“嘈杂邻居”效应。

使用场景与适用范围

• 多团队共享集群：企业内部多个团队、部门或用户组需共享Kubernetes集群，同时保持资源隔离。
• 防止集群蔓延：避免为每个团队 provision 独立集群，降低集群管理复杂度和成本。
• 资源与安全策略控制：需要在租户级别统一管理资源配额、安全策略等，确保合规性。
• 原生Kubernetes体验：希望使用原生Kubernetes API和工具，无需学习额外抽象层。
• GitOps流程：采用声明式配置和GitOps工具（如ArgoCD、Flux）管理租户和策略。

使用方法与配置说明

Capsule的部署和配置细节请参考官方文档。一般步骤包括：

1. 部署Capsule控制器：通过Helm chart或YAML清单在Kubernetes集群中部署Capsule控制器组件。
2. 创建租户：集群管理员通过自定义资源（CR）创建租户，定义资源限制、网络策略等。
3. 分配用户权限：为租户分配用户或服务账户，配置RBAC权限。
4. 租户内资源管理：租户用户在其命名空间内自主创建和管理资源，继承租户级策略。

详细部署指南、配置参数及示例可查阅官方文档。

文档与社区

• 官方文档：完整使用指南和最佳实践，请访问Capsule文档。
• 贡献：Capsule采用Apache 2许可证开源，欢迎任何贡献。
• 社区：加入https://github.com/clastix/capsule-community%EF%BC%8C%E8%8E%B7%E5%8F%96%E8%B4%A1%E7%8C%AE%E4%BB%A3%E7%A0%81%E5%92%8C%E6%96%87%E6%A1%A3%E7%9A%84%E8%B5%84%E6%BA%90%EF%BC%8C%E4%B8%8E%E5%85%B6%E4%BB%96%E7%94%A8%E6%88%B7%E4%BA%A4%E6%B5%81%E3%80%82

治理

项目治理详情请参见治理文档。

常见问题（FAQ）

• Q：Capsule如何发音？
  A：发音为 /ˈkæpsjuːl/（英式发音）。

• Q：是否适合生产环境？
  A：尽管持续开发和改进，Capsule已可用于生产环境，目前已有公共和私有部署案例。详见https://github.com/clastix/capsule/releases%E8%8E%B7%E5%8F%96%E7%89%88%E6%9C%AC%E4%BF%A1%E6%81%AF%E3%80%82

• Q：是否支持我的Kubernetes发行版？
  A：已在原生Kubernetes 1.16+的私有环境和公有云上测试，预期可在其他Kubernetes发行版上正常工作。如遇问题，请反馈。

• Q：是否提供商业支持？
  A：是的，Clastix（Capsule背后的公司）提供商业支持。请联系获取报价。