YARN集群中通过ACL(访问控制列表)和标签调度实现计算资源逻辑隔离和物理隔离；整体架构如下：

ACL

Capacity Scheduler 通过 ACL 机制实现队列级别的访问控制，确保多租户环境下的安全隔离。

如上图所示：

• 租户A允许提交任务到queueA，不允许提交任务到queueB和queueC。

• 租户B允许提交任务到queueB，不允许提交任务到queueA和queueC。

• 租户C允许提交任务到queueC，不允许提交任务到queueA和queueB。

标签调度

标签调度是Capacity Scheduler 实现物理资源隔离的高级特性，允许管理员将节点打上标签，并将特定队列与标签绑定，实现更精细的资源管控。

工作原理：

• 节点打标签：管理员为集群中的节点分配标签（如NodeLabel1）。

• 队列绑定标签：在capacity-scheduler.xml 中配置队列可访问的标签。

• 任务调度：提交到该队列的应用程序只能调度到具有匹配标签的节点上。

如上图所示：

• 租户A、租户B只能提交任务到默认标签。

• 租户C可以提交任务到默认标签，也可以提交任务到NodeLabel1。