3. 多租户与安全隔离基础

在 HPE Alletra 存储系统中，多租户并不是一个抽象口号，而是由一组可配置对象逐层收敛权限的结果。理解这套机制，关键是先分清三个层次的对象：租户（Tenant）、域（Domain）和分区（Partition）。它们不是同义词，而是从“谁在用”到“能用哪些资源”再到“资源之间如何互不干扰”的三级映射。

三个概念的实际含义

租户是资源归属与配额的最高层边界。一个租户通常对应一个业务部门、一个客户或一个独立项目。租户决定了“这批卷、主机、快照属于谁”，并承载容量配额、用户与角色绑定。跨租户默认不可见：租户 A 的管理员登录后，看不到租户 B 的卷和主机。

域是租户内部的进一步细分，常用于把同一租户下的不同应用、不同环境（生产/测试）或不同站点分开。域继承租户的边界，但可以在域级别再分配容量、再限定可访问的主机集合。可以把它理解为租户内部的一个“子账本”。

分区更贴近物理与性能层面。它把后端存储资源（如磁盘组、CPG、端口、缓存资源）划分成互不重叠的资源池，使不同租户或不同域的 I/O 在物理资源上被隔开，避免“邻居吵闹”导致性能互相拖累。分区关注的是“数据落在哪些物理资源上、走哪些前端端口”。

隔离机制如何逐层生效

HPE Alletra 的隔离不是单一开关，而是一条从身份到数据的链路。用户先通过认证（本地账号或外部目录）获得身份，身份被绑定到角色（如超级管理员、租户管理员、只读用户）；角色决定其可操作的对象范围；对象范围由租户和域限定；最终数据落盘时由分区决定使用哪些物理资源。任何一层缺失，隔离都会出现缺口。

下面这张图展示了从“用户请求”到“物理落盘”的隔离链路，以及租户、域、分区在链路中的位置：

隔离级别与资源分配策略

实际部署时，隔离强度需要与业务需求匹配。常见的做法是分三档：

• 基础隔离：只划分租户，域和分区共用。适合内部部门之间信任度较高、只要求逻辑归属清晰的场景。此时容量配额是主要控制手段。
• 标准隔离：租户 + 域两级划分，分区按租户分配。适合生产与测试混用、需要防止测试负载影响生产的场景。域级配额和主机集合限制开始发挥作用。
• 强隔离：租户 + 域 + 独立分区，且前端端口也按租户划分。适合多客户托管、合规要求严格或对性能抖动敏感的场景。此时物理资源完全不共享。

资源分配策略上，容量配额通常按“租户总量 → 域子配额”逐级下发。例如某租户总配额 100 TB，域 A 分配 60 TB，域 B 分配 40 TB；域内再按卷或应用细分。需要注意的是，配额是上限而非预留，实际使用量取决于写入数据量。性能方面，分区决定了 IOPS 和带宽的物理上限，若某分区所在磁盘组数量少，即使租户配额充足，性能也会先到瓶颈。

一个可参考的规划示例

假设某企业有两个业务部门：财务部和研发部，各自有生产和测试环境。可以这样规划：

这样划分后，财务部管理员只能看到财务部租户下的卷和主机，研发部同理；生产域和测试域之间默认不可互相访问；P1 与 P3 虽然都是 SSD，但属于不同磁盘组，性能互不抢占。若后续研发部测试环境需要扩容，只需调整 P4 对应域的配额，不影响其他租户。

验证隔离是否生效，可以从三个角度检查：一是用租户管理员账号登录，确认看不到其他租户对象；二是尝试跨域访问主机或卷，应被拒绝；三是观察分区对应的磁盘组和端口，确认没有与其他租户重叠。这三步能覆盖归属、权限和物理资源三个层面，是判断隔离配置是否完整的基本依据。