2. 多租户架构基础：租户隔离模型、数据隔离策略、资源隔离方案
在多租户签名链路中，租户隔离是保障安全性与合规性的核心基石。每个租户（如不同业务线、客户或内部部门）必须拥有独立的密钥存储、签名策略与审计日志，避免跨租户数据泄露或操作越权。本章从隔离模型、数据策略与资源方案三个维度展开，为后续自动化部署与回滚策略奠定架构基础。
2.1 租户隔离模型
租户隔离模型定义了多租户系统的逻辑边界。根据隔离粒度与运维复杂度，通常分为以下三种模型：
| 隔离模型 | 描述 | 适用场景 | 隔离强度 |
|---|---|---|---|
| 共享-共享（SaaS 池化） | 所有租户共享同一应用实例与数据库，通过租户 ID 字段逻辑隔离 | 低安全需求、海量小租户、成本敏感 | 低 |
| 共享-独享（Schema 隔离） | 共享应用实例，但每个租户拥有独立数据库 Schema 或表空间 | 中等安全需求、租户数量可控、需独立备份 | 中 |
| 独享-独享（实例隔离） | 每个租户拥有独立的应用实例、数据库与基础设施 | 高安全合规、金融/政务签名、大租户 | 高 |
架构建议： 签名链路涉及私钥与证书管理，建议至少采用 共享-独享（Schema 隔离） 模型，确保密钥表、签名日志与审计数据在存储层物理分离。对于金融级租户，应升级为 独享-独享 模型。
2.2 数据隔离策略
数据隔离是多租户签名系统的安全红线。签名链路中的敏感数据包括：私钥材料、证书链、签名请求日志与审计记录。以下是四种主流数据隔离策略：
- 行级隔离（Row-Level Security）：所有租户数据存储在同一表中，通过
tenant_id列过滤。适用于低敏感度配置数据，如签名策略模板。 - Schema 级隔离：每个租户拥有独立的数据库 Schema，表结构相同但数据物理分离。适用于中等安全需求，支持独立备份与恢复。
- 数据库实例级隔离：每个租户使用独立的数据库实例，网络与存储完全隔离。适用于高安全合规场景，如金融级签名密钥存储。
- 加密隔离（Enclave 级）：在硬件安全模块（HSM）或机密计算环境中，每个租户拥有独立的加密域，密钥永不离开安全边界。适用于最高安全等级。
关键风险： 行级隔离在签名链路中风险极高。一旦 SQL 注入或应用层权限校验失效，攻击者可跨租户读取私钥或签名日志。建议签名密钥与审计数据至少使用 Schema 级隔离。
2.3 资源隔离方案
资源隔离关注计算、存储与网络层面的物理或逻辑分隔，确保单个租户的突发流量或故障不影响其他租户。在签名链路中，资源隔离直接影响签名吞吐量与可用性。
| 资源维度 | 隔离方案 | 实现方式 | 签名链路影响 |
|---|---|---|---|
| 计算（CPU/内存） | Kubernetes Namespace + ResourceQuota | 每个租户部署独立 Pod，设置 CPU/Memory 上限与 LimitRange | 防止租户间“吵闹邻居”，保障签名 QPS 稳定性 |
| 存储（密钥/日志） | PV/PVC 隔离 + HSM 分区 | 每个租户绑定独立 PersistentVolume，HSM 中划分独立密钥槽位 | 密钥物理隔离，满足合规审计要求 |
| 网络（流量/延迟） | NetworkPolicy + 服务网格（Istio） | 定义租户级入站/出站规则，使用 Istio 进行流量分割与限流 | 限制跨租户网络访问，防止数据泄露 |
| 签名硬件（HSM） | HSM 分区（Partition） | 每个租户分配独立 HSM 分区，使用不同密钥标签（Key Label） | 硬件级隔离，签名操作互不干扰 |
最佳实践： 在 Kubernetes 环境中，结合
Namespace + ResourceQuota + NetworkPolicy 实现三层资源隔离。对于签名 HSM，务必使用硬件分区（如 Thales CipherTrust 的 Domain 或 AWS CloudHSM 的 Cluster），确保密钥材料永不跨租户泄露。
2.4 隔离模型选择矩阵
以下矩阵帮助团队根据租户规模、安全等级与运维成本快速选择隔离组合：
| 租户类型 | 推荐隔离模型 | 数据隔离 | 资源隔离 | 运维复杂度 |
|---|---|---|---|---|
| 开发/测试租户 | 共享-共享（池化） | 行级隔离 | 共享 Namespace | 低 |
| 内部业务线 | 共享-独享（Schema） | Schema 级隔离 | 独立 Namespace + ResourceQuota | 中 |
| 外部客户（标准） | 共享-独享（Schema） | Schema 级隔离 + 加密 | 独立 Namespace + NetworkPolicy | 中高 |
| 金融/政务（高合规） | 独享-独享（实例） | 数据库实例级 + HSM 分区 | 独立集群 + 独立 HSM | 高 |
选择隔离方案时，需平衡安全合规与资源利用率。签名链路中，密钥与审计数据的隔离优先级最高，建议优先保障数据层与 HSM 层的物理隔离，再逐步优化计算与网络层的资源效率。