kubernetes - namespace 上的GKE `ResourceQuota`-限制高于指定的限制

Question

我有一个在GKE上运行的Kubernetes集群，并且用ResourceQuota创建了一个新的命名空间:
yaml

apiVersion: v1
kind: ResourceQuota
metadata:
  name: bot-quota
spec:
  hard:
    requests.cpu: '500m'
    requests.memory: 1Gi
    limits.cpu: '1000m'
    limits.memory: 2Gi

我将其应用于我的命名空间(称为 bots)，这给了我 kubectl describe resourcequota --namespace=bots:

Name:            bot-quota
Namespace:       bots
Resource         Used  Hard
--------         ----  ----
limits.cpu       0     1
limits.memory    0     2Gi
requests.cpu     0     500m
requests.memory  0     1Gi


Name:                       gke-resource-quotas
Namespace:                  bots
Resource                    Used  Hard
--------                    ----  ----
count/ingresses.extensions  0     5k
count/jobs.batch            0     10k
pods                        0     5k
services                    0     1500

这就是我的期望-我的期望是 bots命名空间很难限制在上述限制内。
现在，我想使用以下简单的yaml将单个pod部署到该 namespace :

apiVersion: v1
kind: Pod
metadata:
  name: podname
  namespace: bots
  labels:
    app: someLabel
spec:
  nodeSelector:
    cloud.google.com/gke-nodepool: default-pool
  containers:
    - name: containername
      image: something-image-whatever:latest
      resources:
        requests:
          memory: '96Mi'
          cpu: '300m'
        limits:
          memory: '128Mi'
          cpu: '0.5'
      args: ['0']

在指定了 resources的情况下，我希望部署单个实例的范围很广。当我应用yaml时:

Error from server (Forbidden): error when creating "pod.yaml": pods "podname" is forbidden: exceeded quota: bot-quota, requested: limits.cpu=2500m, used: limits.cpu=0, limited: limits.cpu=1

如果我将pod的Yaml更改为使用 0.3的cpu限制，则在请求 limits.cpu=2300m时出现相同的错误。
换句话说:似乎奇迹般地增加了2000m(= 2)cpu到我的极限。
我们没有应用任何 LimitRange。
我想念什么？

Answer 1

正如上面的评论所讨论的，它确实与istio有关。怎么样？
显而易见(现在)，requests和limits是在container级别上指定的，而不是在pod / deployment级别上指定的。为什么如此重要？
运行istio(在我们的示例中为GKE上的受管istio)，该容器并不是“工作量”中唯一的容器，更确切地说，它还具有istio-init(将在启动后立即终止)和istio-proxy。
这些额外的容器会应用自己的限制和资源，例如，在当前正在查看的容器中:

Limits: 
  cpu: 2
  memory: 1Gi
Requests:
  cpu: 100m
  memory: 128Mi

在 istio-proxy上(使用: kubectl describe pods <podid>)
这确实可以解释为什么整个WHOLE部署的限制都比预期的多了2 cpu。