4. 租户隔离策略：物理隔离、逻辑隔离、混合隔离、隔离级别选择

在多租户签名链路中，租户隔离决定了不同租户的计算资源、存储空间、密钥材料以及运行时环境之间的边界强度。隔离策略的选择直接影响系统的安全性、资源利用率、运维复杂度以及调优空间。本章从隔离模型出发，分析三种主流策略的适用场景，并给出基于 Quota 系统的隔离级别选择方法。

4.1 隔离策略全景

根据资源边界与共享程度，租户隔离可分为三个层次：

4.2 物理隔离：强边界，高成本

物理隔离为每个租户分配独立的硬件资源，包括 CPU 核心、内存、磁盘、网络接口以及签名加速卡（如 HSM、TPM、FPGA 签名模块）。在签名链路中，物理隔离的核心优势在于：

• 密钥材料永不离开专属硬件，满足 FIPS 140-2 Level 3 及以上合规要求。
• 无邻居效应，一个租户的突发签名请求不会影响其他租户的延迟。
• 故障域独立，单台物理机宕机仅影响一个租户。

但物理隔离的代价同样明显：

• 硬件采购与运维成本线性增长，租户数量增加时总拥有成本（TCO）急剧上升。
• 资源利用率低，非高峰时段大量算力闲置。
• 扩容周期长，无法快速响应租户增长。

4.3 逻辑隔离：高弹性，需精细控制

逻辑隔离通过操作系统级虚拟化（容器、cgroup、namespace）或进程级沙箱实现租户间的资源与数据隔离。在签名链路中，逻辑隔离依赖以下机制：

• cgroup 资源限制：为每个租户的签名进程设置 CPU 份额、内存上限、磁盘 IOPS。
• 命名空间隔离：每个租户拥有独立的进程树、网络栈、挂载点。
• 软件密钥管理：密钥存储在加密的软件密钥库中，通过租户 ID 与访问令牌控制。

逻辑隔离的调优重点在于 Quota 参数的精确配置，避免因共享资源争抢导致签名延迟抖动。以下是一个典型的 cgroup 配置示例：

# 租户 A：高优先级，预留 4 核 CPU，内存上限 8GB
mkdir -p /sys/fs/cgroup/cpu/tenant_A
echo 400000 > /sys/fs/cgroup/cpu/tenant_A/cpu.cfs_quota_us
echo 100000 > /sys/fs/cgroup/cpu/tenant_A/cpu.cfs_period_us
mkdir -p /sys/fs/cgroup/memory/tenant_A
echo 8589934592 > /sys/fs/cgroup/memory/tenant_A/memory.limit_in_bytes

# 租户 B：普通优先级，共享 CPU，内存上限 2GB
mkdir -p /sys/fs/cgroup/cpu/tenant_B
echo 200000 > /sys/fs/cgroup/cpu/tenant_B/cpu.cfs_quota_us
echo 100000 > /sys/fs/cgroup/cpu/tenant_B/cpu.cfs_period_us
mkdir -p /sys/fs/cgroup/memory/tenant_B
echo 2147483648 > /sys/fs/cgroup/memory/tenant_B/memory.limit_in_bytes

4.4 混合隔离：分级保障，弹性共享

混合隔离将租户分为不同等级，关键租户使用物理隔离，普通租户使用逻辑隔离。这种策略在大型 SaaS 平台和混合云部署中最为常见。其架构示意如下：

混合隔离的关键设计原则：

• 分级准入：根据租户的合规等级、签名量级、SLA 要求，自动分配到物理层或逻辑层。
• 弹性溢出：物理层租户在峰值时可临时借用逻辑层的空闲资源（需密钥隔离合规）。
• 统一 Quota 管理：无论物理还是逻辑隔离，Quota 控制器统一管理租户的 TPS、并发数、密钥使用次数。

4.5 隔离级别选择矩阵

在实际项目中，选择隔离级别需要综合评估以下五个维度。下表给出了推荐选择路径：

4.6 隔离策略对参数调优的影响

不同的隔离策略直接决定了 Quota 参数的调优范围与约束条件：

• 物理隔离：Quota 参数主要作用于单机内部的线程池、连接池、密钥缓存。调优重点在于 max_sign_threads、key_cache_ttl、batch_size。
• 逻辑隔离：Quota 参数需要与 cgroup 资源限制联动。调优重点在于 cpu_quota_us、memory_limit、io_throttle，以及签名链路的 max_concurrent_requests。
• 混合隔离：需要两套参数模板——物理层使用独立调优参数，逻辑层使用共享池调优参数。关键调优点是 溢出阈值 与 降级策略。

以下是一个混合隔离场景下的参数配置示例：

# 物理隔离租户参数模板（tenant_A）
quota:
  max_tps: 5000
  max_concurrent: 200
  key_cache_size: 1024
  key_cache_ttl: 300
  hsm_session_pool: 10

# 逻辑隔离租户参数模板（tenant_D）
quota:
  max_tps: 500
  max_concurrent: 50
  key_cache_size: 128
  key_cache_ttl: 60
  cgroup_cpu_quota: 200000
  cgroup_memory_limit: 2147483648

# 溢出策略（全局）
overflow:
  enabled: true
  max_borrow_tps: 1000
  borrow_timeout_ms: 500
  fallback_action: "reject"