Vuokralaisen eristäminen on avainkäsite monivuokralaisissa sovelluksissa. Tässä artikkelissa keskustelemme, mitä se on ja miten se voidaan saavuttaa.
Hei kaikille! Tässä luvussa rakennamme aikaisempien monivuokralaisten aiheiden keskustelujen pohjalta. Jos et vielä ole lukenut edellisiä artikkeleita, suosittelemme aloittamaan niistä!
Kun keskustellaan monivuokralaisista sovelluksista, on tärkeää ajatella vuokralaisen eristämistä. Tämä tarkoittaa eri vuokralaisten tietojen ja resurssien pitämistä erillään ja turvallisina jaetussa järjestelmässä (esimerkiksi pilvi-infrastruktuurissa tai monivuokralaisessa sovelluksessa).
Vuokralaisen eristyksen tavoitteena on varmistaa, että jokaisen vuokralaisen tiedot ja toiminnot pysyvät erillisinä ja turvallisina toisistaan, vaikka he käyttäisivät samoja taustaresursseja.
Ohjelmisto palveluna (SaaS) -tilanteessa vuokralaisen eristäminen sisältää rakenteiden luomisen SaaS-kehykseen, jotka tiukasti säätelevät resurssien käyttöä. Tämä estää luvattomat yritykset päästä käsiksi toisen vuokralaisen resursseihin.
Vaikka selitys voi vaikuttaa abstraktilta, käytämme esimerkkejä ja avaintietoja eristämismielentilan selventämiseksi.
Tämä johtuu siitä, että vuokralaisen eristäminen ei ole välttämättä infrastruktuurin resurssitason rakenne. Monivuokraisuuden ja eristämisen alueella jotkut näkevät eristämisen tiukkana jakona todellisten infrastruktuuriresurssien välillä. Tämä johtaa yleensä malliin, jossa jokaisella vuokralaisella on erilliset tietokannat, laskentainstanssit, tilit tai yksityiset pilvet. Jaettujen resurssien skenaarioissa, kuten monivuokralaisissa sovelluksissa, tapa saavuttaa eristäminen voi olla looginen rakenne.
Vuokralaisen eristäminen keskittyy yksinomaan "vuokralaisen" kontekstin käyttämiseen resurssien käyttöoikeuden rajoittamiseen. Se arvioi nykyisen vuokralaisen kontekstia ja käyttää tuota kontekstia määrittääkseen, mitkä resurssit ovat saatavilla sille vuokralaiselle. Tämä eristäminen koskee kaikkia kyseisen vuokralaisen käyttäjiä. Kaikki yritykset päästä vuokralaisen resursseihin tulisi rajata vain niihin resursseihin, jotka kuuluvat kyseiselle vuokralaiselle.
Kun ymmärrämme, ettei eristys ole tiukasti sidottu infrastruktuurin resurssitasoihin eikä se ole selvä erottelu fyysisen infrastruktuurin välillä, johtaa se tällaiseen johtopäätökseen:
Sen sijaan, että näkisit eristyksen yksinkertaisena "kyllä" tai "ei", harkitse sitä spektrinä. Voit järjestää osia järjestelmästäsi olemaan enemmän tai vähemmän eristettyjä tarpeidesi mukaan.
Alla oleva kaavio havainnollistaa tätä eristyksen spektriä.
SaaS-ympäristöjen käyttöoikeuden hallinta todennuksen ja valtuutuksen avulla on tärkeää, mutta se ei riitä täydelliseen eristämiseen. Nämä mekanismit ovat vain yksi osa turvallisuuspulmaa.
Ihmiset kysyvät usein kysymyksen, voinko käyttää yleisiä valtuutusratkaisuja ja roolipohjaista käyttöoikeuden hallintaa vuokralaisen eristämisen saavuttamiseksi? Voit rakentaa monivuokralaisen sovelluksen, mutta et voi sanoa, että olet saavuttanut ja ottanut käyttöön vuokralaisen eristämisstrategiat parhaana käytäntönä. Emme yleensä suosittele sitä, koska
Havainnollistaakseni, harkitse tilannetta, jossa olet asettanut todennuksen ja valtuutuksen SaaS-järjestelmällesi. Kun käyttäjät kirjautuvat sisään, he saavat tunnuksen, joka sisältää tietoa heidän roolistaan, määrittäen, mitä he voivat tehdä sovelluksessa. Tämä lähestymistapa parantaa turvallisuutta, mutta ei takaa eristystä.
Tässä on juju: Ilman "vuokralaisen" kontekstin lisäämistä, kuten vuokralaistunnusta, resurssien käyttöoikeuden rajoittamiseksi, pelkästään todennukseen ja valtuutukseen luottaminen ei estäisi käyttäjää oikealla roolilla pääsemästä toiselle vuokralaiselle kuuluviin resursseihin.
Tässä tulee vuokralaisen eristäminen mukaan. Se käyttää vuokralaiskohtaisia tunnisteita rajojen asettamiseksi, aivan kuten seinät, ovet ja lukot, varmistaen selkeän erottelun vuokralaisten välillä.
Keskustelimme vuokralaisen eristämisestä, mutta entä identiteetit? Kuinka päätetään, pitäisikö identiteettisi olla "eristetty" vai ei?
Usein on sekaannusta "identiteetin eristämisen" käsitteestä. Se voi viitata tilanteisiin, joissa yhdellä todellisella käyttäjällä on kaksi identiteettiä yleisessä ymmärtämisessä.
Joskus näitä skenaarioita kutsutaan "identiteetin eristämiseksi". Kuitenkin tämä nimitys ei välttämättä auta päätöksenteossa.
Sen sijaan, että päätettäisiin tarvitsetko "identiteetin eristämistä", harkitse, tarvitseeko sinun tai osan liiketoiminnasta tai tuotteesta ylläpitää erillisiä identiteettijärjestelmiä. Tämä vastaus voi ohjata Identiteetin ja pääsynhallinnan (IAM) järjestelmän suunnittelua. Lyhyenä vastauksena monivuokralaisessa sovelluksessa,
Useimmissa tapauksissa monivuokralaisissa sovelluksissa identiteetit ovat jaettuja, kun taas jokaisen vuokralaisen resurssit ovat eristettyjä.
Monivuokralaisissa sovelluksissa identiteetit, toisin kuin vuokralaiskohtaiset resurssit ja tiedot, ovat jaettuja useiden vuokralaisten kesken. Kuvittele itsesi rakennuksen ylläpitäjänä; et haluaisi ylläpitää kahta erillistä nimilistaa hallitaksesi vuokralaistesi identiteettejä.
Kun pyritään vuokralaisen eristämiseen, olet saattanut havaita toistuvan painotuksen "organisaatio"-termiin, jota usein pidetään parhaana käytäntönä monivuokralaisen sovelluksen rakentamiseen.
Käyttämällä "organisaatio"-käsitettä voit saavuttaa vuokralaisen eristämisen monivuokralaisessa sovelluksessa pitäen yhtenäisen identiteettijärjestelmän. Tämä sallii useiden "organisaatioiden" rinnakkaiselon itsenäisesti, mutta jakaa vuokralaisten kannalta riippumattomat resurssit sovelluksen sisällä. Aivan kuten asukkaat asuvat rakennuksessa, jokainen organisaatio käyttää sovellusta murehtimatta naapureistaan, sillä "organisaatio" tarjoaa tarvittavan erottelun seinien, käytävien, ovien ja lukkojen muodossa. He jakavat koko rakennuksen infrastruktuurin, sisustussuunnittelujärjestelmän sekä erilaisia aineellisia tai aineettomia komponentteja.
Logto on aktiivisesti kehittämässä "Organisaatio"-ominaisuutta, jonka lanseerausta suunnitellaan marraskuussa 2023. Tämä ominaisuus on erityisesti suunniteltu täyttämään vuokralaisen eristämisvaatimukset SaaS-tuotteen rakentamiseksi vastaamaan teollisuuden standardeja ja parhaita käytäntöjä.
Tulevassa luvussa syvennymme "Organisaatio"-ominaisuuteen ja siihen, miten Logto helpottaa monivuokralaisen sovelluksen rakentamisen parhaita käytäntöjä.