体系结构

由于这个共享基础设施，CNI与主集群中配置的相同。可用存储也是如此，存储类和卷都是主集群的。

为了提供所需的隔离，K3k利用网络策略。

在*共享*模式下，K3k利用Kubernetes的’资源配额’和’限制范围’来管理资源共享并强制执行限制。由于所有虚拟集群工作负载都在主集群的同一名称空间中运行，因此资源配额应用于该名称空间，以限制虚拟集群消耗的总资源。限制范围用于为Pods设置默认资源请求和限制，确保工作负载即使未明确指定也有合理的资源分配。

虚拟集群中的每个Pod都被分配一个唯一名称，该名称包含Pod名称、名称空间和集群名称。这可以防止在共享主集群的名称空间中发生命名冲突。

重要的是要理解，资源配额是在名称空间级别应用的。这意味着虚拟集群中的所有 Pod 共享相同的配额。虽然这为虚拟集群提供了整体限制，但这也意味着资源分配是动态的。如果一个工作负载没有使用其全部资源分配，_同一_虚拟集群中的其他工作负载可以利用这些资源，即使它们属于不同的部署或服务。

这种动态共享既可以是一个好处，也可以是一个挑战。它允许高效的资源利用，但如果工作负载的资源需求各不相同，也可能导致不可预测的性能。此外，这种方法使得在同一虚拟集群内保证严格的资源隔离变得困难。

共享模式下虚拟集群之间的隔离在很大程度上依赖于 Kubernetes 网络策略。网络策略定义了控制允许进出 Pod 的网络流量的规则。K3k 配置网络策略，以确保一个虚拟集群中的 Pod 不能与其他虚拟集群中的 Pod 或主集群中的 Pod 进行通信，为网络隔离提供了坚实的基础。

虽然网络策略提供了强大的隔离能力，但理解其特性是很重要的：

K3k 还利用 Kubernetes Pod 安全准入（PSA）根据 Pod 安全标准（PSS）在虚拟集群内强制执行安全策略。PSS 为 pods 定义不同的安全级别，限制 pods 可以执行的操作。通过配置 PSA 强制执行特定的 PSS 级别（例如，baseline 或 restricted）以用于虚拟集群，K3k 确保 pods 遵循既定的安全最佳实践，并防止它们使用特权功能或执行潜在危险的操作。

PSA 集成的关键方面包括：

共享模式架构在设计时考虑了安全性。K3k 采用多层安全控制，包括网络策略和 PSA，以保护虚拟集群和主集群。虽然共享名称空间模型需要仔细配置和管理，但这些控制为在多租户环境中运行工作负载提供了强大的安全基础。K3k 不断评估和增强其安全机制，以应对不断变化的威胁，并确保为用户提供最高级别的保护。

在 virtual 模式下的虚拟集群各自拥有独立的网络配置，由各自的 K3s 服务器管理。每个虚拟集群运行自己的 CNI 插件，在其 K3s 服务器中配置，提供与其他虚拟集群和主集群的完全网络隔离。虽然虚拟集群网络最终在主集群的网络基础设施上运行，但网络配置和流量管理是完全独立的。

在 virtual 模式下，资源共享通过对构成虚拟集群的 pods（包括 K3s 服务器 pod 和 K3s 代理 pods）施加资源限制来管理。每个 pod 被分配特定数量的处理器、内存和其他资源。在虚拟集群 内 运行的工作负载则利用这些分配的资源。这意味着虚拟集群整体上有一个由其组成 pods 的限制决定的资源池。

这种方法提供了一种清晰直接的方式来控制每个虚拟集群可用的资源。然而，这需要仔细的资源规划，以确保每个虚拟集群有足够的容量来处理其工作负载。

virtual 模式由于为每个虚拟集群部署了专用的 K3s 集群，因此提供了强大的隔离。由于每个虚拟集群运行自己的独立控制平面和工作节点，工作负载在彼此之间以及与主集群之间有效隔离。这种架构最小化了一个虚拟集群对其他虚拟集群或主集群的影响风险。

在 virtual 模式下，安全性受益于由独立的 K3s 集群提供的固有隔离。然而，标准的 Kubernetes 安全最佳实践仍然适用，K3k 强调分层安全的方法。虽然 K3s 服务器 pods 通常以提升的权限运行（由于其功能的性质，需要访问系统资源），但 K3k 建议尽可能减少这些权限，并遵循最小权限原则。这可以通过仔细配置必要的能力来实现，而不是依赖于完整的 privileged 模式。有关 K3s 安全最佳实践的更多信息可以在官方 K3s 文档中找到： https://docs.k3s.io/security（此链接提供一般安全指导，包括对能力和其他相关主题的讨论）。

目前，虚拟模式下的安全性存在特权升级的风险，因为服务器 pods 由于其功能的性质以提升的权限运行，需要访问系统资源。