Kong Kubernetes Ingress Controller 中 Watch Namespaces 对资源消耗的影响分析

背景概述

在 Kubernetes 集群中，Kong Ingress Controller（KIC）作为流量管理的关键组件，其资源使用效率直接影响集群稳定性。当集群规模扩大时，特别是存在大量 Service、KongPlugins 等资源对象时，KIC 可能出现内存消耗过高的问题。这种现象在同时运行多个 KIC 实例的大型集群中尤为明显。

核心问题

KIC 默认会监听和处理集群中所有命名空间的资源变更，包括那些与当前 IngressClass 无关的对象。这种全量监听机制会导致：

1. 不必要的资源对象缓存
2. 冗余的事件处理逻辑
3. 随着集群规模增长而线性上升的内存消耗

解决方案验证

通过实验验证了使用 watch-namespaces 参数对资源消耗的影响：

测试环境搭建

1. 采用 envtest 框架模拟 Kubernetes 环境
2. 创建 EndpointSlice 对象作为测试负载
3. 对比两种配置场景：
   • 场景A：监听目标命名空间（包含测试对象）
   • 场景B：监听非目标命名空间（不包含测试对象）

内存消耗对比数据

场景	内存分配(MiB)	总分配(MiB)	系统内存(MiB)	GC次数
场景A	6 → 20	125 → 1610	27 → 56	29 → 160
场景B	保持6不变	124 → 169	保持28不变	28 → 37

关键发现

1. 当监听包含测试对象的命名空间时：

   • 内存分配从 6MiB 增长到 20MiB
   • 总内存分配达到 1.6GiB
   • 垃圾回收次数显著增加

2. 当监听不相关的命名空间时：

   • 内存分配保持稳定
   • 总内存增长幅度极小
   • 垃圾回收频率基本不变

技术实现原理

KIC 通过 controller-runtime 库的 DefaultNamespaces 配置实现命名空间过滤：

Cache: cache.Options{
    DefaultNamespaces: map[string]cache.Config{
        "target-ns": {}, // 只监听指定命名空间
    },
}

该配置会：

1. 在 Informer 层面建立过滤机制
2. 只同步指定命名空间的资源对象
3. 显著减少内存中的缓存数据量

生产环境建议

对于大型 Kubernetes 集群，建议：

1. 明确划分 Kong 相关资源的部署命名空间
2. 启动 KIC 时通过 -watch-namespace 参数限制监听范围
3. 将相关资源集中部署在少数命名空间中
4. 监控 KIC 的内存使用情况，设置合理的资源限制

预期收益

实施命名空间隔离后：

• 内存消耗降低 60-80%
• 垃圾回收压力显著减小
• 控制器响应速度提升
• 集群整体稳定性增强

总结

通过合理配置 watch-namespaces 参数，可以有效控制 KIC 的资源消耗。这一优化对于大规模 Kubernetes 集群尤为重要，既能保证功能完整性，又能避免不必要的资源浪费。建议所有生产环境中的 KIC 部署都评估并实施这一优化方案。