1. 多租户与 Quota 基础
1.1 多租户架构定义
多租户（Multi-Tenancy）是一种软件架构模式，允许单个应用实例同时服务多个租户（Tenant），同时为每个租户提供逻辑隔离的数据与配置空间。在云原生签名链路中，每个租户通常对应一个独立业务线、部门或外部客户，共享同一套签名服务集群，但拥有独立的密钥、策略与流量配额。
核心特征： 共享基础设施 + 逻辑隔离 + 按租户计量。
| 维度 | 单租户架构 | 多租户架构 |
|---|---|---|
| 资源利用率 | 低，每个租户独立部署 | 高，共享集群 |
| 运维成本 | 随租户数线性增长 | 接近常数 |
| 隔离粒度 | 物理/虚拟机级 | 进程/线程/请求级 |
| 签名链路适配 | 独立签名服务实例 | 共享签名节点 + 租户路由 |
1.2 Quota 概念
Quota（配额）是对租户在单位时间内可消耗的签名资源总量的硬性上限。它通常以 TPS（每秒事务数）、QPS（每秒请求数） 或 并发数 为计量单位。Quota 不是简单的限流阈值，而是与租户等级、付费计划、业务优先级绑定的资源契约。
关键区别： 限流（Rate Limiting）是保护系统的手段；Quota 是租户与平台之间的资源承诺。Quota 用尽后，系统应优雅降级而非直接拒绝。
Quota 在签名链路中的典型表现形式：
- 硬 Quota： 超过即拒绝，适用于高优先级租户的保底资源。
- 软 Quota： 超过后允许排队或降级签名算法（如从 RSA2048 降级为 ECDSA），适用于弹性场景。
- 突发 Quota： 允许短时间借用未来配额，适用于秒杀或峰值业务。
1.3 为什么需要 Quota 控制签名链路
签名链路是计算密集型路径，涉及密钥读取、摘要计算、非对称加密、网络 I/O 等操作。没有 Quota 控制，单个租户的突发流量可能引发以下问题：
- 资源争抢： 一个租户的签名洪流占满 CPU/内存，导致其他租户签名超时。
- 密钥保护失效： 高频签名请求可能被利用进行侧信道攻击或密钥猜测。
- 成本失控： 签名节点按调用计费，无 Quota 会导致账单爆炸。
- SLA 违约： 高优先级租户无法获得承诺的签名延迟保障。
常见误区： 仅靠签名节点水平扩展无法解决多租户隔离问题。扩展只能增加总容量，不能阻止单个租户独占资源。Quota 是逻辑隔离的第一道防线。
1.4 Quota 在签名链路中的关键参数
实施 Quota 控制时，需要关注以下核心参数。这些参数直接影响签名链路的吞吐、延迟与隔离效果。
| 参数名称 | 典型值 | 调优影响 |
|---|---|---|
| max_tps_per_tenant | 1000 / 500 / 100 | 决定租户最大签名吞吐 |
| burst_window_ms | 1000 | 突发 Quota 的时间窗口，影响峰值容忍度 |
| quota_refill_rate | 10 / 秒 | 令牌桶补充速率，控制平均流量 |
| max_queue_depth | 200 | 软 Quota 排队深度，防止队列堆积 |
| degrade_algorithm | RSA2048 → ECDSA | 软 Quota 超限后的签名算法降级策略 |
调优原则： Quota 参数不是越大越好。过大的 burst_window 会导致资源被短期占满；过小的 max_queue_depth 会导致频繁拒绝。需要结合签名节点的 CPU 基准测试与租户业务模型进行动态调整。
1.5 本章小结
- 多租户架构是签名链路共享与隔离的基础，Quota 是资源契约的核心载体。
- Quota 分为硬 Quota、软 Quota、突发 Quota，分别对应不同的业务场景。
- 签名链路必须引入 Quota 控制，以防止资源争抢、密钥泄露、成本失控和 SLA 违约。
- 关键参数（max_tps_per_tenant、burst_window_ms、quota_refill_rate、max_queue_depth、degrade_algorithm）需要根据实际负载进行调优。