摸个底。 如果你已经把 Kubernetes 部署在了 Ubuntu 服务器上， 却发现业务时常卡顿、节点经常被抢占，那很可能是“资源”这件事没有做好。别慌， 今天我们用最接地气的语言，手把手教你从容器级别的 requests/limits到命名空间层面的 LimitRange 与 ResourceQuota全链路搞定资源管控，让你的集群像装了防护盾一样稳健。

一、先弄清楚概念：Requests、Limits 与驱逐机制到底是怎么回事？

Requests是调度器挑节点时参考的“最低需求”。如果一个 Pod 声明了 200m CPU、 256Mi 内存，调度器会只把它安排到满足这些需求的节点上，别担心...。

什么鬼？ Limits则是运行时的“硬性封顶”。当容器实际使用超过 Limits 时CPU 会被 CFS 限流，内存超出会被 OOMKill。

Ubuntu 本身并不影响这套机制——Kube‑scheduler/kubelet 在每个节点上统一施行。不过 在 Ubuntu 上我们可以通过 /var/lib/kubelet/config.yaml 为系统进程预留资源， 正宗。 从而防止主要原因是系统服务抢占导致的驱逐风波。

驱逐到底怎么玩？

• eviction-hard: 当节点可用内存低于阈值或 CPU 使用率高于阈值，kubelet 会立刻挑出几个 “最不重要” 的 Pod 来回收资源。
• eviction-soft + eviction-soft-grace-period: 给容器一点喘息的时间， 如果短时间内仍未恢复，就硬核驱逐。
• system-reserved / kube-reserved: 为操作系统和核心组件提前划出专属配额，让它们不受业务 Pod 的抢占。

二、 实战：在 Pod 或容器级别直接写入 Requests/Limits

下面是一段最常见的 Pod 定义示例，把它拷贝到本地文件 nginx-pod.yam 欧了！ l 然后 kubectl apply -f nginx-pod.yaml 即可生效：

这里的 “250m” 表示 0.25 个 CPU 核心；如果业务突发需要更高算力，只要把 limits 调大即可。 容我插一句... 但切记：不要把 limits 设置得比 node 的总容量还大，否则会导致调度失败或频繁驱逐。

小技巧：给容器加上默认值防止忘记写 requests/limits

Kubernetes 支持通过 LimitRange 为命名空间里的所有容器自动填充默认请求和限制。如果开发者忘记手动配置，上面的默认值会悄悄生效，从根本上杜绝“无节制”的资源消耗。

三、LimitRange：为命名空间装上平安阀门

LimitRange可以一次性为整个命名空间设定最小/最大/默认的 CPU 与内存值。这样即使新人开发者只写了镜像名称，也能得到合理的资源配额，来日方长。。

提示：LimitRange 对已经运行的 Pod 没有 retroactive 效果，只对之后创建的新对象生效。 换个角度。 如果想让老旧工作负载也遵循新规则，需要滚动更新 Deployment 或者重新创建对应的 Pods。

四、 ResourceQuota：守住命名空间的整体边界

If you let one team hog all CPUs and memories…，于是我们需要用 ResourceQuota, 把每个命名空间能使用的总量锁死。这样一来即便某个业务突发流量，也只能在配额范围内扩容，不至于把整台机器都吞掉，不如...。

配额项	含义示例	备注
pods	最多创建10个Pod实例	防止单命名空间撑爆对象数目
requests.cpu / limits.cpu	CPU 总请求 ≤4核 CPU 总上限 ≤8核	单位为核， 可使用 m 表示毫核
requests.memory / limits.memory	内存请求 ≤8Gi 内存上限 ≤16Gi	确保节点有足够余量
persistentvolumeclaims	最多5个PVC	防止磁盘被“一锅端”
services.loadbalancers	最多2个外部LB	控制云厂商费用

同样提醒：ResourceQuota 不会强制已存在 Pods 的行为，只对后续创建起作用。如果要让老 Pods 遵守新配额，请施行滚动升级或手动删除重建。

五、 节点级别保护——system‑reserved / kube‑reserved & 驱逐阈值调优

Kubernetes 在每个节点跑着一堆关键组件，再加上 Ubuntu 自己的 systemd 服务。如果不给这些系统进程留足够余地，一旦业务冲击大，它们也会被挤掉，引发不可预料的故障。

为什么要把 system‑reserved 和 kube‑reserved 分开？主要原因是前者保留给 OS 自己跑日志、 swap 等后台任务；后者专门给 Kubernetes 控制平面保留，以免它们因业务抢占而崩溃。两块“平安垫”合起来就是让你的节点即使满负荷也还能保持呼吸。

Troubleshooting 小贴士：

# 查看当前 Node 配置：  # 检查是否触发驱逐：  # 快速定位哪个 Pod 超过 Limits：  # 内卷... 临时放宽 Limits 来做压测：  # 想彻底关闭某 Namespace 的 Quota：  \endul\

bash kubectl get pods --all-namespaces -o jsonpath='{range .items}{.metadata.namespace}{"\t"}{.metadata.name}{"\t"}{range .spec.containers}{.name}{ 希望大家... "|"}{.resources.requests.cpu}{"|"}{.resources.limits.cpu}{"|"}{.resources.requests.memory}{"|"}{.resources.limits.memory}{" "}{end}{end}' | grep '||'

若出现空格代表该容器未声明对应字段，需要立刻补齐！

bash kubectl apply -f limitrange-dev.yaml，调整一下。

我们都曾是... 接着 跑上一条检查脚本，应该全员佩戴 “请求&上限”。

bash kubectl create quota-test-pod.yaml

kubectl apply -f quota-test-pod.yaml，太虐了。

如果返回 “Forbidden ” 则说明配额已生效，说白了就是...。

推荐使用 Promeus+Grafana 看板监控两类指标：

• Node CPU & Memory 使用率
• Pod Eviction Events
• System Reserved vs Allocated 对比图表 –– 如果两条线相交太多， 就说明预留不足，需要适当调大 system‑reserved 或 kube‑reserved 。 😰😰😰😱😱😱🙈🙈🙈 ☔☔☔ 🌦️🌦️🌦️⛈⛈⛈ ⏰⏰⏰ ⏲⏲⏲ ⌚⌚⌚ ⏱⏱⏱ 🕑🕑🕑 👽👽👽 🤖🤖🤖 🤯🤯🤯

©2026 小站技术部 | 如有疑问欢迎在评论区留言或关注公众号获取更多实战案例。 本文所列配置仅作参考，请根据实际业务负载和硬件规格进行微调。

!---- End ----!---- End ----!---- End ----!---- End 恕我直言... ----!---- End ----!---- End ----!---- End ----!----

---