CNCF было разработано 3 модели/решения для организации Multi-Tenant в Kubernetes. Но это не значит, что нет других инструментов помогающих достичь этого.Встречайте Capsule -
multi-tenancy и policy-based фреймворк для Kubernetes.По факту это
Kubernetes Operator c Custom Resource (Tenant, CapsuleConfiguration) и MutatingWebhook и ValidatingWebhook. В ресурсе Tenant прописываются все возможности и ограничения, которые затем накладываются на ту группу namespaces, которые там будут созданы и ресурсы внутри них. Внутри данного Tenant пользователи вольны делать, что угодно в рамках заданных ограничений. При это каждый Tenant изолирован от других: Network и Security Policies, Resource Quota, Limit Ranges, RBAC и другие политики служат ограничениями на уровне Tenant и автоматически наследуются всеми namespaces в рамках Tenant.Отдельного внимание заслуживает соответствие данного решения требованиям Multi-Tenancy Benchmark!
P.S. В комментариях можете спрашивать любые вопросы по данному проекту и на них ответит один из основных мейнтейнеров проекта ;)
