共享基础设施上的隔离
多租户的核心问题是共享与隔离的平衡：多个业务或客户共用一套存储集群成本最低，但任一租户的异常流量、容量增长或凭证泄露都可能影响其他租户。隔离手段从弱到强依次是策略隔离、配额限制、独立桶与账号，再到独立集群；隔离级别越高，成本与运维复杂度也越高，因此要按数据敏感度与规模来定。
基本信息
| 租户标识 | 账号、用户、桶、前缀、标签 |
|---|---|
| 隔离手段 | 独立凭证、策略、配额、限流、独立集群 |
| 共享资源 | 前端网络端口、后端磁盘带宽、元数据索引 |
| 治理目的 | 限制单租户影响力并支持成本归因 |
典型使用场景
- 内部多业务共用：按业务建桶与账号，配额约束容量增长
- 对外提供服务：每个客户独立凭证与命名空间，防越权访问
- 开发测试与生产共存：测试租户限流限容，避免影响生产
- 集团多子公司：按子公司归集成本并保留独立审计
- 合规隔离：敏感业务独立集群，不与普通业务混布
隔离配置要点
隔离配置要点
mc mb myminio/tenant-a-data # 每租户独立桶
mc admin user add myminio tenant-a SECRET # 独立凭证
mc admin policy attach myminio tenant-a-policy --user tenant-a # 只授权本租户资源
mc quota set myminio/tenant-a-data --size 500Gi # 容量配额
mc admin user svcacct add myminio tenant-a # 应用用服务账号
# 命名约定：桶名或前缀包含租户标识，便于策略匹配与成本统计隔离手段与效果
| 手段 | 隔离内容 | 局限 |
|---|---|---|
| 策略与凭证 | 访问权限互相不可见 | 不限制资源消耗 |
| 配额 | 容量与对象数量上限 | 不限制瞬时请求压力 |
| 限流与仲裁 | 限制请求速率 | 需要按租户配置与维护 |
| 独立桶或集群 | 数据与资源彻底分开 | 成本高，运维面扩大 |
落地建议
- 按租户建立命名约定，桶名与前缀带租户标识，策略可直接匹配
- 每个租户的访问密钥独立签发与独立回收，禁止共用
- 对关键租户设置容量配额与请求限流，双管齐下防噪声邻居
- 审计日志按租户维度归集，方便定位到具体调用方
- 定期评估租户规模，超过阈值时考虑升级隔离级别
配额限制的是占用总量，限流限制的是瞬时压力；大流量租户抢的可能不是容量而是共享的前端带宽与磁盘 IO，两者都要管。
把多个租户的数据放在同一个桶里仅靠前缀区分，策略一旦写错就会造成跨租户数据泄露；安全要求较高的场景应使用独立桶或独立账号。