1. 课程导论：多租户架构概述、服务网格与Istio简介、签名链路通信机制的价值、安全隔离的核心挑战

1.1 多租户架构概述

多租户（Multi-Tenancy）是一种软件架构模式，其中单个软件实例服务于多个独立的租户（Tenant）。每个租户在逻辑上相互隔离，拥有专属的数据、配置、用户身份和访问策略，但共享底层的基础设施资源。

在云原生环境中，多租户的隔离维度通常包括：

1.2 服务网格与Istio简介

服务网格（Service Mesh）是云原生中用于处理服务间通信的基础设施层。它将通信逻辑从业务代码中剥离，下沉为独立的代理层（Sidecar），实现流量管理、安全、可观测性的统一治理。

Istio 是目前最成熟的服务网格实现之一，其核心架构包含：

• 数据平面（Data Plane）： 以 Envoy 代理作为 Sidecar，拦截所有进出 Pod 的流量，执行路由、负载均衡、TLS 终止、访问控制等操作。
• 控制平面（Control Plane）： 包含 Pilot（服务发现与配置下发）、Citadel（证书签发与身份管理）、Galley（配置验证与分发）等组件，统一管理数据平面的行为。

1.3 签名链路通信机制的价值

在传统微服务架构中，服务间通信通常依赖网络层加密（如 TLS）和简单的 。这种方式存在以下不足：

• 身份伪造： 攻击者一旦进入内网，可以冒充任意服务发起请求。
• 请求篡改： 中间人攻击可以修改请求体或元数据。
• 租户混淆： 缺乏端到端的租户身份传递机制，下游服务无法确认请求来源的租户归属。

签名链路通信机制 通过在每个请求上附加数字签名，实现端到端的请求完整性验证和租户身份绑定。其核心价值包括：

1.4 安全隔离的核心挑战

在基于 Istio 的多租户签名链路通信中，安全隔离面临以下核心挑战：

1. 证书与密钥的租户级隔离： 每个租户需要独立的签名密钥对和证书链，避免跨租户密钥泄露导致签名伪造。
2. 签名策略的差异化配置： 不同租户可能采用不同的签名算法（如 RSA、ECDSA）、摘要算法（SHA-256、SHA-384）和签名有效期。
3. Envoy 代理的租户感知： Sidecar 代理需要能够识别当前请求所属的租户，并应用对应的签名策略，而非全局统一策略。
4. 跨命名空间/集群的签名验证： 当请求跨越命名空间或集群边界时，签名验证需要依赖全局可路由的租户身份信任根。
5. 性能与安全的平衡： 签名生成和验证会引入额外的计算开销和延迟，需要在安全强度与系统吞吐量之间找到平衡点。

1.5 课程学习路径

本课程将按照以下逻辑递进展开：