3. 租户签名概念

3.1 什么是租户签名

在微服务与云原生架构中，租户签名（Tenant Signature） 是一个由平台自动生成或由租户配置的、唯一标识一个租户身份的数字凭证。它通常以 键值对 或 JWT 声明 的形式嵌入到请求的 Header、Cookie 或 gRPC Metadata 中，用于在服务间传递时标记流量归属。

租户签名的核心组成包括：

3.2 签名在微服务链路中的用途

在微服务调用链中，租户签名承担以下 4 个核心职责：

1. 流量隔离与路由 — 网关根据签名中的 tenant_id 将请求分发到对应租户的专用服务实例或命名空间。
2. 权限校验 — 每个服务在接收请求时，验证签名有效性，防止跨租户越权访问。
3. 可观测性标签 — 签名作为自定义标签注入 Trace 和 Metrics，实现租户级别的监控与排障。
4. 限流与配额管理 — 基于签名识别租户，执行差异化的限流策略和资源配额。

3.3 签名与 ConfigMap 的绑定关系

在 Kubernetes 环境中，租户签名并非硬编码在代码中，而是通过 ConfigMap 进行声明式管理。这种绑定关系使得签名配置可以动态变更，无需重新构建镜像或重启 Pod。

绑定关系分为三个层次：

以下是一个典型的 ConfigMap 定义示例：

apiVersion: v1
kind: ConfigMap
metadata:
  name: tenant-signature-config
  namespace: production
data:
  tenant-abc.yaml: |
    tenant_id: "tenant-abc-001"
    secret_key: "hmac-secret-xxxx"
    algorithm: "HS256"
    expires_in_seconds: 3600
    scope: "payment-service,order-service"
  tenant-xyz.yaml: |
    tenant_id: "tenant-xyz-002"
    secret_key: "hmac-secret-yyyy"
    algorithm: "HS256"
    expires_in_seconds: 7200
    scope: "inventory-service"

3.4 签名与 ConfigMap 绑定关系示意图

下图展示了租户签名从 ConfigMap 到微服务链路的完整绑定与传递流程：

3.5 签名变更与 ConfigMap 热更新

当租户签名配置发生变更时（如密钥轮换、作用域调整），运维人员只需更新 ConfigMap 中的对应条目。Kubernetes 会将变更自动同步到挂载卷或环境变量，Sidecar 代理检测到文件变化后，无需重启 Pod 即可加载新签名规则。

变更流程如下：

• 步骤 1： 运维更新 ConfigMap tenant-signature-config 中的 tenant-abc.yaml 密钥。
• 步骤 2： Kubernetes 将新配置同步到所有挂载该 ConfigMap 的 Pod 卷中。
• 步骤 3： Sidecar 代理通过 inotify 或 fsnotify 监听文件变化，自动重载签名配置。
• 步骤 4： 新生成的请求使用更新后的签名，旧签名在有效期过后自动失效。