Mandantenfähigkeit

Mandantenfähigkeit (Multi-Tenancy) ist eine Architektur, bei der eine einzige, gemeinsam genutzte Plattform mehrere unabhängige Mandanten bedient – einzelne Kunden, Geschäftsbereiche oder Anwendungen – wobei jeder Mandant logisch isoliert ist, sodass keiner die anderen sehen oder beeinflussen kann. Die Mandanten teilen sich dieselbe zugrunde liegende Hard- und Software, aber jeder verhält sich, als hätte er ein eigenes, privates System.

Der ganze Sinn besteht darin, beides zugleich zu erreichen – sicher und effizient: eine einzige Plattform, die angeschafft, betrieben und skaliert wird (statt eines separaten Silos je Mandant), verbunden mit einer strikten Isolierung der Daten, der Identität und des Namensraums jedes Mandanten. Mandantenfähigkeit ist das, was es einem Dienstanbieter erlaubt, Hunderte von Kunden auf einer gemeinsamen Infrastruktur zu hosten, oder einem Unternehmen, seine Abteilungen sauber zu trennen, ohne dass die Daten des einen zu denen eines anderen gelangen.

Was Mandantenfähigkeit bedeutet

Ein Mandant (Tenant) ist eine Gruppe von Benutzern und Ressourcen, die zusammengehören und von allen anderen getrennt bleiben müssen – typischerweise ein Kunde, eine Abteilung oder eine Anwendungsumgebung. Mandantenfähigkeit isoliert jeden Mandanten in mehreren Dimensionen zugleich:

• Daten und Namensraum. Jeder Mandant hat seine eigenen Buckets und seinen eigenen Objekt-Namensraum. Zwei Mandanten können sogar dieselben Objekt- oder Bucket-Namen ohne Kollision verwenden.
• Identität und Zugriff. Jeder Mandant hat eigene Konten, Benutzer und Anmeldedaten; die Schlüssel eines Mandanten gewähren keinen Zugriff auf die Daten eines anderen.
• Kapazität und Leistung. Kontingente und Kontrollen verhindern, dass ein Mandant den gemeinsamen Pool erschöpft oder anderen den Durchsatz entzieht (das Problem des „lauten Nachbarn“).
• Verwaltung. Der administrative Wirkungsbereich ist begrenzt, sodass ein Mandantenadministrator nur seinen eigenen Mandanten verwaltet.

Unten geteilt, oben isoliert: Diese Kombination ist das bestimmende Merkmal eines mandantenfähigen Systems.

Mandantenfähig vs. Einzelmandant

Die Alternative zur Mandantenfähigkeit ist der Einzelmandantenbetrieb, bei dem jeder Mandant seine eigene dedizierte Instanz der Plattform erhält.

• Einzelmandant (dediziert). Maximale Isolierung und Anpassbarkeit und der kleinste Wirkungsradius, wenn etwas schiefgeht – aber höhere Kosten, mehr Hardware und mehr Instanzen, die zu betreiben und zu patchen sind.
• Mandantenfähig (geteilt). Deutlich höhere Effizienz und Dichte: Eine Plattform bedient alle, die Kapazität wird gebündelt und der Betrieb zentralisiert. Im Gegenzug muss die Isolierung per Software statt durch physische Trennung durchgesetzt werden.

Die meisten großskaligen Speicher- und Cloud-Dienste sind mandantenfähig, weil die Effizienz entscheidend ist; der technische Aufwand fließt dann darin, die logische Isolierung so stark wie eine physische Trennung zu machen.

Wie die Isolierung durchgesetzt wird

Im Objektspeicher beruht die Mandantenisolierung vor allem auf Identitäts- und Namensraumkontrollen:

• Konten und IAM. Jeder Mandant entspricht einem eigenen Konto mit eigenen Benutzern, Gruppen, Rollen und Richtlinien, die genau festlegen, was jede Identität tun darf.
• Getrennte Namensräume und Anmeldedaten. Buckets und Zugriffsschlüssel sind auf den Mandanten beschränkt, sodass Anfragen ausschließlich gegenüber diesem Mandanten authentifiziert und autorisiert werden.
• Kontingente und QoS. Kapazitätsgrenzen und Ratenkontrollen dämmen den Effekt des lauten Nachbarn ein und verhindern, dass ein Mandant den gesamten Pool verbraucht.
• Verschlüsselung je Mandant. Getrennte Schlüssel – oft kundenverwaltete Schlüssel – stellen sicher, dass selbst gemeinsam genutzte Speichermedien über Mandantengrenzen hinweg nichts Verwertbares preisgeben.
• Netzwerk und Audit. Segmentierte Endpunkte und mandantenbezogene Protokollierung vervollständigen die Trennung und schaffen Nachvollziehbarkeit.

Wer Mandantenfähigkeit nutzt – und warum

Mandantenfähigkeit ist der Standard für alle, die viele Verbraucher aus einer gemeinsamen Infrastruktur bedienen:

• Dienstanbieter, die Storage-as-a-Service oder Backup-as-a-Service anbieten, hosten viele Kunden auf einer Plattform, mit Messung und Weiterverrechnung je Mandant.
• Unternehmen trennen Abteilungen, Tochtergesellschaften oder Projekte auf einem einzigen System und halten dabei die Daten und Zugriffe jedes Einzelnen getrennt.
• SaaS- und Plattformteams geben jedem Kunden oder jeder Umgebung einen isolierten Ausschnitt eines gemeinsamen Backends.

Die Vorteile sind Effizienz, Dichte und einfacherer Betrieb; die zu beherrschenden Risiken sind Datenlecks zwischen Mandanten, der Effekt des lauten Nachbarn und ein größerer Wirkungsradius – genau dafür gibt es die oben genannten Isolierungskontrollen.

Mandantenfähigkeit und ARTESCA

ARTESCA ist über ein AWS-kompatibles IAM-Modell auf sichere Mandantenfähigkeit ausgelegt. Die Dokumentation von Scality beschreibt dieses Modell so, dass es „starke Sicherheit und Anwendungskompatibilität mit Mandantenfähigkeit für Backup-as-a-Service-Angebote“ gewährleistet.

In der Praxis wird jeder Mandant durch eigene Konten abgebildet, wobei Benutzer, Gruppen, Rollen und Richtlinien den Zugriff steuern; Buckets, Namensräume und Anmeldedaten sind je Mandant abgegrenzt, sodass sich zwei Mandanten denselben Pool und dieselben S3-Endpunkte teilen und dennoch füreinander völlig unsichtbar bleiben. Identitäten können lokal in ARTESCA liegen oder aus einem bestehenden AD/LDAP-Verzeichnis föderiert werden, Administratorrollen begrenzen, was jeder Administrator verwalten darf, und Multi-Faktor-Authentifizierung kann erzwungen werden. In Verbindung mit kundenverwalteten Schlüsseln je Mandant kann ein Anbieter oder Unternehmen so viele Mandanten auf einer Plattform konsolidieren, ohne Isolierung oder Datensouveränität zu gefährden.

Häufige Fragen zur Mandantenfähigkeit

Was ist der Unterschied zwischen mandantenfähig und Einzelmandant?

In einem Einzelmandantensystem erhält jeder Mandant seine eigene dedizierte Instanz. In einem mandantenfähigen System teilen sich viele Mandanten eine Instanz, sind aber logisch isoliert. Mandantenfähigkeit ist effizienter; der Einzelmandantenbetrieb bietet die stärkste physische Trennung.

Können Mandanten in einem mandantenfähigen System die Daten der anderen sehen?

Nein – das ist der ganze Zweck. Die Isolierung von Konten, Namensräumen und Anmeldedaten sorgt dafür, dass jeder Mandant nur auf seine eigenen Daten zugreifen kann, obwohl die zugrunde liegende Plattform gemeinsam genutzt wird.

Was ist ein „lauter Nachbar“?

Ein lauter Nachbar ist ein Mandant, dessen intensive Nutzung die Leistung beeinträchtigt oder Kapazität verbraucht, die andere benötigen. Kontingente und Quality-of-Service-Kontrollen dienen dazu, diesen Effekt einzudämmen.

Wie wird ein Mandant im Objektspeicher isoliert?

Vor allem über Konten und IAM: Jeder Mandant hat sein eigenes Konto, eigene Benutzer, Rollen und Richtlinien sowie getrennte Buckets und Anmeldedaten und oft eigene Verschlüsselungsschlüssel.

Unterstützt ARTESCA Mandantenfähigkeit?

Ja. ARTESCA bietet sichere Mandantenfähigkeit über ein AWS-kompatibles IAM-Modell aus Konten, Benutzern, Gruppen, Rollen und Richtlinien, das für Backup-as-a-Service und abteilungsübergreifende Bereitstellungen ausgelegt ist.