3、隔离策略总览：数据隔离、资源隔离、访问隔离三大策略对比，以及混合隔离模式的选择

在多租户可观测性平台中，隔离策略是保障租户数据安全、服务质量与运维效率的核心设计决策。本章从数据隔离、资源隔离、访问隔离三个维度展开对比，并给出混合隔离模式的选择依据与典型架构。

3.1 三大隔离策略定义与核心差异

下表从隔离对象、实现方式、隔离粒度、典型场景四个维度，对三种策略进行横向对比：

3.2 数据隔离：存储与查询的租户边界

数据隔离是多租户可观测性中最基础、最严格的隔离策略。其核心目标是确保租户A无法读取或推断租户B的任何可观测性数据。

3.2.1 物理隔离 vs 逻辑隔离

3.2.2 结构化日志中的数据隔离实现

在日志系统中，数据隔离通常通过以下两种模式实现：

• 标签路由模式：日志采集时注入租户标签（如 tenant_id），写入时根据标签路由到对应分区或索引。
• 查询拦截模式：在查询层自动追加租户过滤条件，确保查询结果仅包含当前租户数据。

// 结构化日志示例：标签路由模式
{
  "timestamp": "2025-03-21T10:00:00Z",
  "level": "ERROR",
  "tenant_id": "tenant-abc-123",
  "service": "payment-service",
  "message": "数据库连接超时",
  "trace_id": "trace-xyz-789",
  "metadata": {
    "region": "us-east-1",
    "environment": "production"
  }
}

3.3 资源隔离：保障租户服务质量

资源隔离关注的是计算与存储资源的公平分配，防止“吵闹邻居”效应影响其他租户的查询与写入性能。

3.3.1 资源隔离的三种粒度

• 集群级隔离：每个租户独占一个可观测性集群，隔离最彻底，但资源利用率最低。
• 命名空间级隔离：在Kubernetes中通过Namespace划分，配合ResourceQuota限制资源使用上限。
• 工作负载级隔离：通过容器资源限制（CPU/内存requests & limits）实现细粒度控制。

3.3.2 典型资源隔离配置

# Kubernetes ResourceQuota 示例：限制租户命名空间资源
apiVersion: v1
kind: ResourceQuota
metadata:
  name: tenant-quota
  namespace: tenant-abc
spec:
  hard:
    requests.cpu: "4"
    requests.memory: "8Gi"
    limits.cpu: "8"
    limits.memory: "16Gi"
    persistentvolumeclaims: "5"
    pods: "20"

3.4 访问隔离：认证、授权与审计

访问隔离是租户隔离的入口层，控制谁可以访问哪些可观测性数据以及执行哪些操作。

3.4.1 三层访问控制模型

3.4.2 租户感知的RBAC设计

在可观测性系统中，角色定义需要包含租户范围：

# 租户感知的RBAC策略示例
roles:
  - name: tenant-admin
    scope: tenant-abc
    permissions:
      - observability:logs:read
      - observability:metrics:read
      - observability:traces:read
      - observability:alerts:manage

  - name: tenant-viewer
    scope: tenant-abc
    permissions:
      - observability:logs:read
      - observability:metrics:read

3.5 混合隔离模式：策略组合与选择

单一隔离策略难以满足所有需求，生产环境通常采用混合隔离模式。下图展示了三种策略的组合架构：

3.5.1 混合模式选择矩阵

根据租户规模与合规要求，推荐以下混合模式组合：

3.5.2 混合隔离的典型部署流程

1. 租户注册：创建租户时，同步生成访问凭证、命名空间、数据分区。
2. 策略绑定：将RBAC角色、资源配额、数据路由规则绑定到租户ID。
3. 流量接入：API Gateway根据租户ID路由请求，注入租户上下文。
4. 数据写入：采集端携带租户标签，写入对应数据分区。
5. 查询拦截：查询层自动追加租户过滤条件，返回结果前二次校验。
6. 审计追踪：所有跨租户操作记录审计日志，支持事后追溯。

3.6 隔离策略的权衡与演进

选择隔离策略时，需要权衡以下因素：

• 安全 vs 效率：物理隔离最安全但资源利用率最低，逻辑隔离效率高但依赖代码正确性。
• 复杂度 vs 灵活性：混合模式提供了最大的灵活性，但运维复杂度也随之增加。
• 初期 vs 演进：建议从逻辑隔离+RBAC起步，随着租户规模增长逐步引入资源隔离和物理隔离。

下图展示了隔离策略的演进路径：