멀티 테넌트 격리

​

데이터베이스에서 적용되는 격리

• 테이블은 RLS가 활성화되고 강제(FORCE ROW LEVEL SECURITY)되므로 정책이 모든 역할에 적용됩니다. 이를 우회하는 권한 있는 경로는 없습니다.
• 단일 정책이 읽기와 쓰기를 모두 관리합니다. 행은 tenant_id가 현재 요청의 테넌트와 일치할 때만 표시(USING)되고 쓰기 가능(WITH CHECK)합니다.

-- The shape every tenant table shares
ALTER TABLE app.<table> ENABLE ROW LEVEL SECURITY;
ALTER TABLE app.<table> FORCE  ROW LEVEL SECURITY;

CREATE POLICY tenant_access_policy ON app.<table> FOR ALL
  USING      (tenant_id = current_setting('iru.tenant_id'))
  WITH CHECK (tenant_id = current_setting('iru.tenant_id'));

​

테넌트 컨텍스트는 모든 요청과 함께 전달됩니다

1. 테넌트는 미들웨어에서 요청의 하위 도메인으로 확인됩니다. 확인할 수 없으면 요청이 핸들러에 도달하기 전에 거부됩니다.
2. 각 데이터베이스 트랜잭션에 대해 Iru는 테넌트(작업 사용자 및 상관 관계/추적 ID와 함께)를 트랜잭션 범위 설정(SET LOCAL)으로 설정합니다. 트랜잭션으로 범위가 지정되므로 풀링된 연결을 재사용하는 다음 요청으로 누출될 수 없습니다.
3. RLS 정책은 바로 그 설정을 읽으므로, 보안 경계는 애플리케이션이 설정한 것과 동일한 값이며 모든 연결에서 트랜잭션 방식으로 설정됩니다.

​

감사 기록을 다시 쓸 수 없도록 최소 권한 적용

​

모든 변경 사항은 기록됩니다(추가 전용)

​

민감한 필드에 대한 추가 보호 계층

​

전체 구조에서의 위치