Unter Service-Isolierung versteht man die Trennung von Arbeitslasten, Benutzern und Daten zwischen verschiedenen Mandanten innerhalb einer gemeinsamen Cloud-Infrastruktur. In einer Multi-Tenant-Umgebung führen mehrere Kunden oder interne Teams Arbeitslasten auf derselben zugrunde liegenden Plattform aus. Ohne eine angemessene Isolierung riskieren sie Datenverluste, Sicherheitsverletzungen, Leistungseinbußen und die Nichteinhaltung gesetzlicher Vorschriften.
Eine wirksame Dienstisolierung erstreckt sich über mehrere Ebenen. Auf der Datenverarbeitungsebene verwenden Teams häufig Kubernetes-Namensräume, virtuelle Maschinen oder dedizierte Knotenpools, um sicherzustellen, dass sich die Arbeitslasten nicht gegenseitig beeinträchtigen. Die Netzwerkisolierung umfasst die Durchsetzung strikter Kommunikationsgrenzen mithilfe von Technologien wie virtuellen privaten Clouds, Firewall-Richtlinien und Service-Meshes, um nicht autorisierten Datenverkehr zwischen Tenants zu verhindern. Die Speicherisolierung stellt sicher, dass die Daten jedes Tenants für andere unzugänglich bleiben, in der Regel durch separate Buckets oder Volumes, strenge Zugriffskontrollen und mieterspezifische Verschlüsselung. Auch die Identitätsisolierung spielt eine wichtige Rolle, wobei rollenbasierte Zugriffskontrolle, föderierte Identitätsanbieter und mandantenspezifische Audit-Protokollierung zur Durchsetzung ordnungsgemäßer Berechtigungen eingesetzt werden.
Ein praktisches Beispiel hierfür findet sich in Kubernetes. Jeder Tenant erhält einen eigenen Namensraum mit klar definierten Ressourcenquoten und Netzwerkrichtlinien. Der Zugriff wird durch Namensraum-bezogene RBAC eingeschränkt, während Protokolle und Backups unabhängig pro Tenant verwaltet werden. Dieser Ansatz gewährleistet sowohl betriebliche Effizienz als auch Sicherheit im großen Maßstab.
apiVersion: v1
kind: Namespace
metadata:
name: tenant-alpha
labels:
tenant: alpha
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-cross-tenant
namespace: tenant-alpha
spec:
podSelector: {}
policyTypes:
- Ingress
- Egress
ingress: []
egress: []