1. 多租户概念与背景
1.1 什么是多租户
多租户（Multi-Tenancy）是一种软件架构模式，指单个软件实例能够同时为多个独立的用户群体（即“租户”）提供服务，同时确保每个租户的数据、配置和性能彼此隔离。在签名链路场景中，每个租户通常代表一个独立的企业、部门或应用系统，它们共享同一套签名基础设施，但拥有完全独立的密钥、证书、策略和审计日志。
核心定义：多租户 = 单实例 + 多租户隔离 + 共享资源池。租户之间“逻辑隔离、物理共享”，是云原生签名服务的基础能力。
1.2 多租户与单租户的区别
| 对比维度 | 单租户架构 | 多租户架构 |
|---|---|---|
| 实例数量 | 每个租户独立部署一套实例 | 所有租户共享一套实例 |
| 资源利用率 | 低，存在大量空闲资源 | 高，通过共享实现弹性伸缩 |
| 运维成本 | 高，需分别维护升级 | 低，统一运维、统一升级 |
| 数据隔离 | 物理隔离，安全性最高 | 逻辑隔离，依赖架构设计 |
| 租户定制 | 支持深度定制 | 通过配置或插件实现有限定制 |
| 适用场景 | 高安全、强合规、大客户专属 | SaaS 服务、中小客户、标准化签名 |
架构选择建议：签名链路中，若租户数量超过 10 个且签名策略标准化程度高，多租户架构可降低 60% 以上的基础设施成本；若租户有强制物理隔离合规要求（如金融监管），则需采用单租户或混合模式。
1.3 多租户在签名链路中的重要性
在电子签名、数字证书签发、代码签名等场景中，签名链路涉及密钥生成、证书管理、签名策略、审计追溯等多个敏感环节。多租户架构在签名链路中承担以下关键角色：
- 密钥隔离：每个租户拥有独立的密钥存储空间（HSM 分区或 KMS 密钥桶），防止跨租户密钥泄露。
- 策略独立：租户可自定义签名算法、证书有效期、审批流程，互不干扰。
- 审计分离：签名日志按租户标签存储，支持租户级审计查询与合规报告。
- 成本分摊：共享签名网关、负载均衡、监控告警等基础设施，降低单租户使用成本。
- 弹性扩展：新增租户无需部署新实例，仅需创建租户配置和密钥分区，分钟级上线。
1.4 签名链路中的多租户隔离模型
签名链路对隔离性有严格要求，通常采用三层隔离模型：
- 数据隔离层：密钥材料、证书链、签名请求、签名结果按租户 ID 分区存储，数据库表增加 tenant_id 字段。
- 策略隔离层：签名算法（RSA/ECDSA/SM2）、证书模板、审批流程、有效期规则按租户独立配置。
- 审计隔离层：签名日志、操作记录、合规报告按租户标签归档，支持租户级导出与查询。
常见陷阱：仅依赖数据库 tenant_id 字段做隔离，而忽略密钥存储和签名策略的租户感知，会导致“逻辑隔离失效”。签名链路中，密钥分区必须使用硬件隔离（HSM 分区或 KMS 密钥桶），不能仅靠软件层过滤。
1.5 典型应用场景
| 场景 | 多租户价值 | 隔离要求 |
|---|---|---|
| 企业电子合同签名 | 多个子公司共用签名平台，各自管理印章和审批 | 密钥隔离 + 策略隔离 |
| 代码签名服务 | 为不同 ISV 提供代码签名证书，防止交叉签名 | 密钥隔离 + 审计隔离 |
| CA 证书签发 | 为多个客户提供子 CA 或证书模板服务 | 数据隔离 + 策略隔离 |
| PDF 数字签名 | SaaS 平台为不同企业用户提供批量签名 API | 三层全隔离 |
最佳实践：在签名链路中引入多租户时，建议从设计阶段就明确“租户上下文传递机制”——每个签名请求必须携带租户 ID，并在网关层完成租户路由和鉴权，避免后续重构。