4、多租户隔离模型：租户密钥隔离、签名策略隔离、审计日志隔离的设计原则
在多租户制品签名链路中，隔离模型是保障租户间数据安全与合规的基石。若隔离失效，一个租户的密钥泄露或策略误配置可能波及全局，导致签名链路的全面崩溃。本章围绕密钥隔离、策略隔离与审计日志隔离三大核心维度，阐述设计原则与落地方法。
4.1 租户密钥隔离
密钥是签名链路的信任根。租户密钥隔离要求每个租户拥有独立的密钥存储空间、生命周期管理流程及访问控制策略，杜绝跨租户密钥共享或泄露。
| 隔离维度 | 设计原则 | 实现方式 |
|---|---|---|
| 存储隔离 | 每个租户使用独立的密钥存储容器（如 KMS 密钥环、HSM 分区） | 租户 ID 作为存储路径前缀，或使用独立 KMS 实例 |
| 访问隔离 | 仅租户自身及授权服务可访问其密钥 | IAM 策略绑定租户标签，RBAC 角色按租户划分 |
| 生命周期隔离 | 密钥创建、轮换、吊销操作不依赖其他租户 | 每个租户独立密钥轮换计划，吊销仅影响本租户 |
| 密钥派生隔离 | 不同租户使用不同的派生密钥因子 | 租户 ID + 主密钥作为 HKDF 输入，生成唯一子密钥 |
关键指标：密钥隔离有效性可通过“跨租户密钥访问尝试次数”与“密钥泄露影响半径”衡量。理想状态下，任一租户密钥泄露不应影响其他租户的签名链路。
4.2 签名策略隔离
签名策略定义了哪些制品、在何种条件下、由谁使用哪把密钥进行签名。策略隔离确保租户的策略变更、回滚与故障恢复互不干扰。
- 策略命名空间隔离：每个租户的策略存储在独立命名空间（如
/tenants/{tenant_id}/policies/），策略名称仅在本租户内唯一。 - 策略版本隔离：租户的策略版本号独立递增，回滚操作仅影响本租户的签名行为。
- 策略执行隔离：签名引擎在评估策略时，仅加载当前租户的策略集，不扫描其他租户的策略。
- 策略模板隔离：允许租户基于全局模板创建自定义策略，但模板实例化后完全归租户所有，全局模板更新不自动覆盖租户实例。
实践建议：在策略存储层使用租户 ID 作为分区键，在策略引擎层使用租户上下文过滤器，确保策略加载与评估的隔离性。回滚时仅需切换本租户的策略版本指针，无需全局锁。
4.3 审计日志隔离
审计日志是故障恢复与合规审计的核心依据。审计日志隔离要求每个租户的日志记录、存储、查询与保留策略相互独立，同时支持全局运维视角的跨租户聚合分析。
| 隔离层级 | 设计原则 | 实现方式 |
|---|---|---|
| 日志写入隔离 | 每条日志记录携带租户 ID，写入对应租户的日志分区 | 日志代理根据租户 ID 路由到不同 Kafka Topic 或 S3 前缀 |
| 日志存储隔离 | 租户日志存储桶/表独立，保留策略按租户配置 | 租户 ID 作为表名后缀或 S3 路径前缀，TTL 按租户设置 |
| 日志查询隔离 | 租户管理员仅能查询本租户日志，运维人员可跨租户查询 | 查询接口强制过滤租户 ID，运维角色需显式授权跨租户查询 |
| 日志脱敏隔离 | 跨租户日志聚合时，自动脱敏敏感字段（如密钥 ID、IP） | 日志管道中配置脱敏规则，按租户级别字段掩码 |
避坑提示：审计日志隔离最容易出现的问题是“日志写入失败导致租户签名阻塞”。建议采用异步写入 + 本地缓存策略，日志写入失败时签名链路继续运行，但触发告警。故障恢复时优先补传缺失日志。
4.4 三隔离模型协同架构
密钥隔离、策略隔离与审计日志隔离并非独立运作，三者需在架构层面协同，形成完整的租户隔离边界。下图展示了三隔离模型在签名链路中的协同关系。
4.5 隔离模型故障恢复要点
当隔离模型自身出现故障（如密钥存储不可用、策略引擎超时、日志写入失败）时，恢复策略需遵循以下原则：
- 故障范围最小化：隔离模型天然限制了故障影响半径，恢复操作仅需在故障租户的隔离域内执行。
- 密钥隔离恢复：若租户 KMS 不可用，自动切换到该租户的备用密钥环（跨区域副本），切换过程不涉及其他租户。
- 策略隔离恢复：策略引擎故障时，回退到该租户的上一个稳定策略版本，无需全局策略回滚。
- 审计日志隔离恢复：日志分区损坏时，仅重建该租户的日志存储路径，从本地缓存或备用日志流补传数据。
恢复验证：每次隔离恢复操作后，需执行跨租户隔离性验证——确认恢复后的租户无法访问其他租户的密钥、策略与日志。建议将隔离性验证纳入自动化故障恢复流水线。