平衡AI多租户网站的物理隔离与性能

项目进入规模化部署阶段。需要支撑50个课题组同时使用ScienceClaw，要求实现租户间物理隔离并控制资源成本。这篇文章基于**华为云CCE**集群，详细阐述采用StatefulSet + 独立Service的多租户物理隔离方案。包括技术选型、实现细节、工程陷阱及演进思考。

技术方法对比

在动手之前。我们评估了几种常见的多租户部署模式：

选择物理隔离的主要原因：

• 合规要求：科研数据需要审计级别的租户隔离，避免数据混流。
• 故障隔离：将爆炸半径限制在单个租户内，避免级联影响。
• 有状态服务：科学计算任务可能连续运行数小时甚至数天需要稳定的网络标识支持断点续跑。

StatefulSet 的必要性

普通Deployment 的Pod名称随机生成，使得租户的 Service 能够基于 statefulset.kubernetes.io/pod-name tag 进行精确绑定。

技术要点：StatusfulSet 依赖一个Headless Service 来实现稳定的网络标识。其实，该 Service 不为 Pod 提供负载均衡。而是通过 DNS 记录直接解析到各 Pod 的 IP。

StatefulSet 配置示例

apiVersion: apps/v1
kind的观点是，StatefulSet
metadata:
name的观点是，scienceclaw
namespace: 
从spec来看，replicas: # 对应50个租户
serviceName: headless-svc # 必须指向 Headless Service
podManagementPolicy: OrderedReady # 顺序部署，保证稳定性
updateStrategy:
说到type，RollingUpdate
template:
说到spec，containers:
- name: scienceclaw
从image来看，/scienceclaw:v0.
env的观点是，- name: AICHEM_APP_TOKEN
valueFrom:
secretKeyRef:
至于name，aichem-token
key的观点是，token
- name: AUTH_SERVICE_URL
从value来看，""
resources:
说到limits，cpu: ''
memory这方面，4Gi
requests:
cpu这方面，''
至于memory。2Gi

Headless Service 配置

apiVersion: v1
从kind来看，Service
metadata:
说到name，headless-svc
namespace: 
从spec来看，clusterIP: None # Headless Service 标识
selector:
app : scienceclaw

每个租户独立 Service 配置示例

apiVersion : v1
kind : Service
metadata :
name : scienceclaw-{idx}
namespace : 
spec :
ports :
- name : http
port :
targetPort :
selector :
app : scienceclaw
statefulset.kubernetes.io/pod-name : scienceclaw-{idx}
type : ClusterIP

工程化批量生成方案

方案一的观点是，Shell 脚本

for i in {..};do
sed "s/{idx}/$i/g" service-template.yaml> service-$i.yaml
kubectl apply -f service-$i.yaml
done

说到方案二，Helm 模板