導入
Kubernetes（以下K8s）を利用する際、開発・ステージング・本番環境を物理的にクラスタを分けるのはコストや管理負荷の面で非効率な場合があります。そこで重要になるのが「Namespace」による論理分割です。本稿では、Namespaceを用いてリソースの競合を防ぎ、セキュアなマルチテナント環境を構築する方法を解説します。
基礎知識
Namespaceは、K8sクラスタ内でリソースをグループ化するための仮想的な分離空間です。デフォルトでは「default」というNamespaceが用意されていますが、実務では環境やチームごとにNamespaceを分割するのがベストプラクティスです。
Namespaceを分けることで、以下のメリットが得られます。
名前衝突の回避: 同じサービス名（例: nginx-service）を複数の環境で利用可能。
リソース制限: ResourceQuotaを設定することで、特定のNamespaceがクラスタのリソースを使い切ることを防ぐ。
セキュリティ制御: RBAC（ロールベースアクセス制御）と組み合わせ、開発者には「dev」Namespaceのみの操作権限を与えるといった制限が可能。
実装/解決策
実務では、Namespaceの切り替えミスによる事故を防ぐために、`kubectl config set-context` を活用して操作対象を明確にすることが推奨されます。また、Namespace作成時にはラベルを付与し、ネットワークポリシー等で柔軟に制御できるようにしておくと運用が楽になります。
サンプルプログラム
以下は、開発環境用のNamespaceを作成し、そのコンテキストを保存・切り替える一連のコマンド例です。
1. 開発用Namespaceの作成
kubectl create namespace dev-env
2. Namespaceにラベルを付与（後の運用でセレクタとして利用可能）
kubectl label namespace dev-env purpose=development
3. 操作対象を「dev-env」に固定するためのコンテキストを作成
これにより、誤ってdefault環境へデプロイするリスクを低減します
kubectl config set-context dev-context –cluster=kubernetes –user=kubernetes-admin –namespace=dev-env
4. コンテキストの切り替え
kubectl config use-context dev-context
5. 現在のNamespaceを確認
kubectl config current-context
応用・注意点
陥りやすい罠と対策
Namespaceによる分離は「論理的」なものであり、完全に物理的な隔離（ノード分離など）ではない点に注意が必要です。機密性の高いワークロードを扱う場合は、Namespace分離に加えて、Taints/Tolerationsによるノード単位の分離や、NetworkPolicyによるPod間通信の制限を併用してください。
リソース制限の徹底
Namespaceを分けただけでは、あるNamespaceのPodがクラスタ全域のリソースを消費し、他環境に影響を与える可能性があります。必ず「ResourceQuota」や「LimitRange」を各Namespaceに適用し、環境ごとのリソース消費量の上限を定義するようにしてください。
本番環境の信頼性を担保するためにも、Namespaceを単なる「名前の整理」としてではなく、「境界線（バウンダリ）」として意識した運用を心がけましょう。
コメント