Vuokralaisen eristäminen monivuokralaisessa sovelluksessa

Hei kaikille! Tässä luvussa rakennamme aikaisempien monivuokralaisten aiheiden keskustelujen pohjalta. Jos et vielä ole lukenut edellisiä artikkeleita, suosittelemme aloittamaan niistä!

• Ovatko monivuokralaiset sovellukset = SaaS?
• Vuokrausmallit monivuokralaiselle sovellukselle

Kun keskustellaan monivuokralaisista sovelluksista, on tärkeää ajatella vuokralaisen eristämistä. Tämä tarkoittaa eri vuokralaisten tietojen ja resurssien pitämistä erillään ja turvallisina jaetussa järjestelmässä (esimerkiksi pilvi-infrastruktuurissa tai monivuokralaisessa sovelluksessa).

Vuokralaisen eristyksen tavoitteena on varmistaa, että jokaisen vuokralaisen tiedot ja toiminnot pysyvät erillisinä ja turvallisina toisistaan, vaikka he käyttäisivät samoja taustaresursseja.

Ohjelmisto palveluna (SaaS) -tilanteessa vuokralaisen eristäminen sisältää rakenteiden luomisen SaaS-kehykseen, jotka tiukasti säätelevät resurssien käyttöä. Tämä estää luvattomat yritykset päästä käsiksi toisen vuokralaisen resursseihin.

Vaikka selitys voi vaikuttaa abstraktilta, käytämme esimerkkejä ja avaintietoja eristämismielentilan selventämiseksi.

Vuokralaisen eristäminen ei ole ristiriidassa monivuokraisuuden "jaetun" ajattelun kanssa#

Tämä johtuu siitä, että vuokralaisen eristäminen ei ole välttämättä infrastruktuurin resurssitason rakenne. Monivuokraisuuden ja eristämisen alueella jotkut näkevät eristämisen tiukkana jakona todellisten infrastruktuuriresurssien välillä. Tämä johtaa yleensä malliin, jossa jokaisella vuokralaisella on erilliset tietokannat, laskentainstanssit, tilit tai yksityiset pilvet. Jaettujen resurssien skenaarioissa, kuten monivuokralaisissa sovelluksissa, tapa saavuttaa eristäminen voi olla looginen rakenne.

Vuokralaisen eristäminen keskittyy yksinomaan "vuokralaisen" kontekstin käyttämiseen resurssien käyttöoikeuden rajoittamiseen. Se arvioi nykyisen vuokralaisen kontekstia ja käyttää tuota kontekstia määrittääkseen, mitkä resurssit ovat saatavilla sille vuokralaiselle. Tämä eristäminen koskee kaikkia kyseisen vuokralaisen käyttäjiä. Kaikki yritykset päästä vuokralaisen resursseihin tulisi rajata vain niihin resursseihin, jotka kuuluvat kyseiselle vuokralaiselle.

Eristys voi olla eri tasoilla#

Kun ymmärrämme, ettei eristys ole tiukasti sidottu infrastruktuurin resurssitasoihin eikä se ole selvä erottelu fyysisen infrastruktuurin välillä, johtaa se tällaiseen johtopäätökseen:

Sen sijaan, että näkisit eristyksen yksinkertaisena "kyllä" tai "ei", harkitse sitä spektrinä. Voit järjestää osia järjestelmästäsi olemaan enemmän tai vähemmän eristettyjä tarpeidesi mukaan.

Alla oleva kaavio havainnollistaa tätä eristyksen spektriä.

Todennus ja valtuutus eivät ole sama kuin "eristäminen"#

SaaS-ympäristöjen käyttöoikeuden hallinta todennuksen ja valtuutuksen avulla on tärkeää, mutta se ei riitä täydelliseen eristämiseen. Nämä mekanismit ovat vain yksi osa turvallisuuspulmaa.

Ihmiset kysyvät usein kysymyksen, voinko käyttää yleisiä valtuutusratkaisuja ja roolipohjaista käyttöoikeuden hallintaa vuokralaisen eristämisen saavuttamiseksi? Voit rakentaa monivuokralaisen sovelluksen, mutta et voi sanoa, että olet saavuttanut ja ottanut käyttöön vuokralaisen eristämisstrategiat parhaana käytäntönä. Emme yleensä suosittele sitä, koska

Havainnollistaakseni, harkitse tilannetta, jossa olet asettanut todennuksen ja valtuutuksen SaaS-järjestelmällesi. Kun käyttäjät kirjautuvat sisään, he saavat tunnuksen, joka sisältää tietoa heidän roolistaan, määrittäen, mitä he voivat tehdä sovelluksessa. Tämä lähestymistapa parantaa turvallisuutta, mutta ei takaa eristystä.

Tässä on juju: Ilman "vuokralaisen" kontekstin lisäämistä, kuten vuokralaistunnusta, resurssien käyttöoikeuden rajoittamiseksi, pelkästään todennukseen ja valtuutukseen luottaminen ei estäisi käyttäjää oikealla roolilla pääsemästä toiselle vuokralaiselle kuuluviin resursseihin.

Tässä tulee vuokralaisen eristäminen mukaan. Se käyttää vuokralaiskohtaisia tunnisteita rajojen asettamiseksi, aivan kuten seinät, ovet ja lukot, varmistaen selkeän erottelun vuokralaisten välillä.

Identiteetti monivuokralaisissa sovelluksissa#

Keskustelimme vuokralaisen eristämisestä, mutta entä identiteetit? Kuinka päätetään, pitäisikö identiteettisi olla "eristetty" vai ei?

Usein on sekaannusta "identiteetin eristämisen" käsitteestä. Se voi viitata tilanteisiin, joissa yhdellä todellisella käyttäjällä on kaksi identiteettiä yleisessä ymmärtämisessä.

1. Molemmat identiteetit voivat olla olemassa yhdessä identiteettijärjestelmässä. Esimerkiksi Sarahilla voi olla henkilökohtainen sähköposti rekisteröityneenä yhdessä yrityssähköpostin kanssa, yhdistettynä kertakirjautumisella (SSO).
2. Käyttäjät ylläpitävät kahta erillistä identiteettiä erillisissä identiteettijärjestelmissä, jotka edustavat täysin erillisiä tuotteita. Nämä tuotteet eivät liity toisiinsa lainkaan.

Joskus näitä skenaarioita kutsutaan "identiteetin eristämiseksi". Kuitenkin tämä nimitys ei välttämättä auta päätöksenteossa.

Sen sijaan, että päätettäisiin tarvitsetko "identiteetin eristämistä", harkitse, tarvitseeko sinun tai osan liiketoiminnasta tai tuotteesta ylläpitää erillisiä identiteettijärjestelmiä. Tämä vastaus voi ohjata Identiteetin ja pääsynhallinnan (IAM) järjestelmän suunnittelua. Lyhyenä vastauksena monivuokralaisessa sovelluksessa,

Useimmissa tapauksissa monivuokralaisissa sovelluksissa identiteetit ovat jaettuja, kun taas jokaisen vuokralaisen resurssit ovat eristettyjä.

Monivuokralaisissa sovelluksissa identiteetit, toisin kuin vuokralaiskohtaiset resurssit ja tiedot, ovat jaettuja useiden vuokralaisten kesken. Kuvittele itsesi rakennuksen ylläpitäjänä; et haluaisi ylläpitää kahta erillistä nimilistaa hallitaksesi vuokralaistesi identiteettejä.

Kun pyritään vuokralaisen eristämiseen, olet saattanut havaita toistuvan painotuksen "organisaatio"-termiin, jota usein pidetään parhaana käytäntönä monivuokralaisen sovelluksen rakentamiseen.

Käyttämällä "organisaatio"-käsitettä voit saavuttaa vuokralaisen eristämisen monivuokralaisessa sovelluksessa pitäen yhtenäisen identiteettijärjestelmän. Tämä sallii useiden "organisaatioiden" rinnakkaiselon itsenäisesti, mutta jakaa vuokralaisten kannalta riippumattomat resurssit sovelluksen sisällä. Aivan kuten asukkaat asuvat rakennuksessa, jokainen organisaatio käyttää sovellusta murehtimatta naapureistaan, sillä "organisaatio" tarjoaa tarvittavan erottelun seinien, käytävien, ovien ja lukkojen muodossa. He jakavat koko rakennuksen infrastruktuurin, sisustussuunnittelujärjestelmän sekä erilaisia aineellisia tai aineettomia komponentteja.

Logto esittelee "Organisaatio"-ominaisuuden marraskuussa#

Logto on aktiivisesti kehittämässä "Organisaatio"-ominaisuutta, jonka lanseerausta suunnitellaan marraskuussa 2023. Tämä ominaisuus on erityisesti suunniteltu täyttämään vuokralaisen eristämisvaatimukset SaaS-tuotteen rakentamiseksi vastaamaan teollisuuden standardeja ja parhaita käytäntöjä.

Tulevassa luvussa syvennymme "Organisaatio"-ominaisuuteen ja siihen, miten Logto helpottaa monivuokralaisen sovelluksen rakentamisen parhaita käytäntöjä.