Kubernetes(k8s) 中的 DNS 如何确保多租户环境下的名称隔离？

Kubernetes通过以下机制实现多租户环境下的DNS名称隔离：1. 命名空间隔离：每个租户使用独立命名空间，DNS记录格式为<service>.<namespace>.svc.cluster.local，确保跨命名空间的同名服务互不冲突。2. DNS策略控制：通过dnsPolicy和dnsConfig限制Pod的DNS解析范围，例如仅允许访问特定命名空间或子域。3. 网络策略：结合NetworkPolicy限制跨命名空间的网络通信，避免DNS查询泄露到其他租户。4. RBAC与资源配额：通过权限控制和资源限制，防止租户滥用DNS资源或修改全局配置。5. 多集群架构：针对高隔离需求，可为租户分配独立集群，彻底物理隔离DNS域。实践中需结合监控和审计，确保隔离策略持续生效。

在 Kubernetes 多租户环境中，DNS 名称隔离主要通过以下机制实现：

1. 命名空间隔离：每个租户使用独立 Namespace，Service 和 Pod 的 DNS 格式为 <service>.<namespace>.svc.cluster.local，天然实现跨命名空间名称隔离。
2. DNS 策略控制：通过 NetworkPolicy 限制跨 Namespace 的 DNS 查询，同时配置 CoreDNS 的 rewrite 或 template 插件过滤非授权域。
3. 子域委派：为租户分配专属子域（如 tenant-a.cluster.local），通过 CoreDNS 的 view 插件实现基于源 IP 的差异化解析。
4. RBAC 加固：限制租户 Service 创建权限，防止 DNS 记录被恶意覆盖。
5. 多 DNS 实例：极端隔离场景可为关键租户部署独立 CoreDNS 实例，实现物理级解析隔离。

在Kubernetes多租户环境中，DNS名称隔离的核心是通过Namespace与策略联动实现。1. Namespace级隔离：每个租户分配独立Namespace，Service/Pod的DNS格式为<service>.<namespace>.svc.cluster.local，天然隔离。2. 网络策略限制：结合NetworkPolicy禁止跨Namespace通信，避免DNS记录被非授权租户解析。3. CoreDNS定制化：利用CoreDNS的rewrite插件或视图（view）功能，为不同租户的Namespace配置差异化的域名解析规则。4. RBAC与资源管控：限制租户仅能在指定Namespace创建Service/Ingress，防止DNS记录冲突。实际项目中需结合Cilium/Calico实现网络隔离，并通过监控异常DNS请求动态加固策略。

为什么不考虑结合服务网格（如Istio）或自定义CoreDNS策略，利用命名空间和网络策略实现更细粒度的DNS隔离？