3、租户隔离需求分析：多租户场景下的资源隔离、安全隔离与性能隔离需求
在多租户 eBPF 环境中，隔离是确保不同租户（如云租户、容器、微服务）之间互不干扰的核心能力。本章从资源、安全与性能三个维度，系统分析 eBPF 租户隔离的关键需求，为后续控制平面接口设计提供需求基线。
3.1 资源隔离需求
资源隔离确保每个租户只能访问和操作其被授权的 eBPF 资源，包括程序、映射、链接以及内核辅助数据结构。缺乏资源隔离将导致租户间资源抢占、数据泄露或误操作。
| 资源类型 | 隔离需求描述 | 典型场景 |
|---|---|---|
| eBPF 程序 | 租户只能加载、查看、卸载属于自己的程序 | 多租户服务网格中的 sidecar 代理 |
| eBPF 映射 | 映射的创建、读写、删除必须限定在租户域内 | 租户自定义网络策略的映射存储 |
| 链接对象 | 程序与事件的绑定关系不可跨租户干扰 | 不同租户的 tracepoint 挂载点隔离 |
| 内核辅助函数 | 限制租户可调用的辅助函数范围 | 禁止非特权租户调用 bpf_probe_write_user |
| 全局数据 | 如 BTF 信息、全局变量，需按租户视图隔离 | 租户间类型信息不可见 |
关键约束：资源隔离必须基于 租户 ID 进行访问控制，控制平面需在每次资源操作时校验租户上下文，避免使用全局共享的命名空间。
3.2 安全隔离需求
安全隔离防止租户通过 eBPF 程序越权访问内核数据、篡改其他租户资源或发起拒绝服务攻击。eBPF 验证器虽然提供基础安全保证，但在多租户场景下仍需额外的安全边界。
- 程序验证隔离：每个租户的程序必须独立通过 eBPF 验证器，验证结果不应受其他租户程序状态影响。
- 内核数据访问控制：租户程序只能读取/写入其被授权的内核数据结构（如特定网络命名空间、cgroup 层级）。
- 映射访问权限：映射的
key/value操作必须校验租户身份，防止跨租户映射遍历或注入。 - 辅助函数白名单：按租户等级提供差异化的辅助函数调用列表，高危函数（如
bpf_override_return）仅限特权租户。 - 审计与追溯：所有 eBPF 操作需记录租户 ID、操作类型、时间戳，支持安全审计。
安全风险提示：若控制平面未实现严格的租户上下文传递，恶意租户可能通过共享的
bpffs 文件系统或全局 pin 路径访问其他租户的映射，导致严重的数据泄露。
3.3 性能隔离需求
性能隔离确保一个租户的 eBPF 程序不会过度消耗 CPU、内存或内核锁资源，从而影响其他租户的服务质量。在多租户场景下，性能隔离是保障 SLA 的关键。
| 性能维度 | 隔离需求 | 实现手段 |
|---|---|---|
| CPU 时间 | 限制每个租户 eBPF 程序的执行时间片 | cgroup cpu 控制器 + eBPF 程序复杂度上限 |
| 内存占用 | 限制映射大小、程序指令数、栈空间 | 映射容量配额、指令数上限（如 4096 BPF insns） |
| 事件处理速率 | 防止租户通过高频事件淹没内核事件管道 | 速率限制（rate limiting）与采样率控制 |
| 锁竞争 | 减少跨租户共享内核锁的争用 | 每租户独立内核对象、锁分片 |
| 映射并发 | 避免一个租户的映射操作阻塞其他租户 | 每租户映射独立哈希表、使用 per-CPU 映射 |
性能隔离基线：控制平面需在租户创建时分配资源配额（如最大映射大小 1MB、最大程序数 50），并在运行时通过内核监控模块进行动态调整与告警。
3.4 三维隔离需求关系图
下图展示了资源隔离、安全隔离与性能隔离三者之间的依赖与交叉关系，以及它们对控制平面接口设计的驱动作用。
3.5 隔离需求对控制平面接口的约束
基于上述三维隔离需求，控制平面接口设计必须满足以下约束条件：
- 租户上下文强制传递：每个 API 调用必须携带租户 ID，控制平面据此进行资源查找与权限校验。
- 资源配额预分配：租户创建时即分配资源上限，运行时接口拒绝超配额操作。
- 操作审计日志：所有资源变更操作需记录租户 ID、操作类型、时间戳与结果。
- 隔离粒度可配置：支持按租户等级（如白金/金/银）调整隔离强度与资源配额。
- 跨租户操作禁止：控制平面接口不应提供跨租户的资源查询或修改能力。
设计原则：控制平面接口应遵循 “租户优先” 原则，即所有接口的第一个参数均为租户标识符，所有内部数据结构均以租户 ID 作为第一级索引。
3.6 隔离需求优先级矩阵
不同业务场景对隔离需求的优先级不同，下表给出典型场景下的优先级排序：
| 业务场景 | 资源隔离 | 安全隔离 | 性能隔离 | 说明 |
|---|---|---|---|---|
| 公有云容器网络 | 高 | 高 | 高 | 租户间完全隔离，SLA 严格 |
| 内部微服务网格 | 中 | 高 | 中 | 安全隔离优先，资源可适度共享 |
| 边缘计算节点 | 高 | 中 | 高 | 资源受限，性能隔离关键 |
| 开发测试环境 | 低 | 中 | 低 | 隔离要求宽松，便于调试 |
注意：优先级矩阵应在控制平面接口设计阶段作为配置参数输入，而非硬编码。不同租户在同一集群内可拥有不同的隔离等级。