多租户SaaS架构：隔离、计费、AI功能与扩展选择

本技术文章面向正在设计SaaS产品或对已超出初始设计的产品进行重构的CTO、架构师及高级工程师。我们的SaaS平台工程指南介绍了孤岛模式、池化模式和桥接租户模型及控制平面；本文在此基础上深入探讨各层隔离的实施方式、数据分区方法、计费接入方式、AI功能如何在租户边界内运行以及平台如何扩展。市场平台内容请参阅市场平台架构。

背景：租户、用户与部署

首先需要明确租户的定义。在B2B SaaS中，租户通常是一个拥有多名用户的客户组织；部分客户可能需要多个租户，例如独立的子公司，或独立的测试与生产环境。在B2C产品中，一个租户可能是一个人、一个家庭或一个群体。微软Azure架构中心指出，这一定义以及租户模型是否被客户接受，既是商业决策，也是技术决策。

需要将逻辑租户与为其提供服务的部署分开。部署（有时称为stamp）是一套基础设施。多个租户可以共享一个部署，也可以一个租户独享一个部署。从一开始就维护一份租户到部署的映射表，日后可以在不重写应用程序的情况下将租户迁移至不同部署。

隔离按层决定

AWS关于SaaS租户隔离策略的白皮书将隔离称为SaaS设计的基础，并将跨越租户边界描述为可能对业务造成不可挽回的事件。微软将隔离描述为一个连续体，而非单一开关。实践中，每一层各有其答案：

一种常见且合理的结果是：应用层池化，而需要隔离的租户则独立存储数据。微软将部分组件按租户拆分、其余共享的方式称为水平分区；为选定租户提供完整独立部署的方式称为垂直分区。

数据分区选项

对于池化数据库，需在数据库层本身而非仅在应用代码层强制执行隔离。PostgreSQL的行安全策略是一种方式：在表上启用后，除非策略允许，否则行将被隐藏，因此不带租户过滤的查询返回空结果而非所有数据。有两点细节需要注意。策略须在每张表上单独启用；表所有者、超级用户及具有BYPASSRLS属性的角色默认绕过策略。因此应用程序应使用不拥有这些表的角色连接，或者对表强制启用行安全，以使策略同样对表所有者生效。

计费与计量架构

多租户SaaS中的计费是一条流水线，而非单一集成。

AI功能：数据隔离与每租户模型成本

助手、AI搜索和摘要功能在一次请求中读取的租户数据量远超大多数页面，因此需要在相同位置强制执行相同边界。AI治理为其制定策略。

• 在提示词之外过滤检索。检索服务从会话上下文中应用租户和用户权限。提示词中只使用该客户数据的指令并非隔离手段。
• 所有AI缓存均以租户为键。未添加租户键的缓存答案和嵌入向量可能将一个客户的内容返回给另一个客户。
• 避免将租户数据用于共享训练。不要用单一租户的数据微调共享模型，并选择条款中排除以请求数据进行训练的模型服务商。受监管租户可能需要专属区域或专属模型部署。
• 按租户计量模型成本。不同租户的token和调用量差异悬殊；按功能归因并通过权益强制限额。
• 下线时删除数据。离开的租户的嵌入向量、索引和已记录的提示词随其数据库行一同删除。

扩展选择

提前规划租户迁移路径：租户数据如何从共享数据库迁移至其专属数据库、流量如何切换，以及如何验证结果。提前设计比临时应对容易得多。

运营：发布、迁移与恢复

• 分环发布。先向内部租户推出，再覆盖一小部分客户，最后全量发布，并使用每租户功能开关。
• 自动化全集群schema迁移。在每租户schema或每租户数据库模式下，一次发布意味着大量迁移；需追踪每个租户所处的版本。
• 支持单租户恢复，而非仅限整个平台。客户会要求恢复单个租户的数据；在他们提出之前先进行测试。
• 计量每租户成本。将计量数据与云账单结合，了解哪些租户和套餐能够覆盖其成本。

测试证据：测试内容

以下为通用工程实践，并非特定项目的成果：

• 跨租户访问测试。对每个端点和任务进行自动化测试，尝试读取或修改其他租户的数据，测试必须失败。
• 行策略测试。在没有租户上下文的情况下运行查询必须返回零行，包括在应用程序的数据库角色下。
• 噪声邻居负载测试。一个租户产生高负载，同时测量其他租户的响应时间。
• 单租户恢复测试。将一个租户从备份恢复到干净环境并比对记录。
• 计量测试。重放和重复的事件必须产生相同的用量总计。
• 跨租户AI测试。询问助手关于另一租户记录的问题必须找不到任何内容，包括通过缓存答案。

更广泛的检查项请参阅我们的SaaS安全清单。

案例：Printcart

Printcart是Netbase五大业务部门之一，是一个Web to Print及按需印刷平台，将在线订单转化为印刷就绪文件并路由至履约环节。它可在商家自有店铺上运行，也可作为Shopify、Wix和WooCommerce应用，安装周期约7天，目前服务2000+家店铺。以一个产品服务如此多的商家，正是本文所描述的多租户问题：每位商家需要在共享平台上拥有各自的目录、订单和店铺连接。Printcart案例记录介绍了Netbase JSC的工程与运营内容，印刷与包装展示了行业背景。

在自有产品之外，Netbase JSC自2020年起作为离岸开发与管理合作伙伴，参与为一家未具名美国客户构建多租户云ERP SaaS平台，面向中小型企业以SaaS形式销售。

Netbase JSC的多租户构建方式

Netbase JSC与AWS、Google Cloud、DigitalOcean和Cloudflare合作，不声称任何云合作伙伴级别或云认证。典型周期为SaaS MVP 8至12周、中级产品3至6个月、企业平台6至12个月或更长，具体取决于范围；以上均为范围估算，非报价。安全性从第一个迭代开始内嵌设计：安全代码审查、传输层TLS加密、静态AES加密、基于角色的访问控制、管理后台MFA、漏洞扫描及灾难恢复规划。AI模型按产品选择，不绑定单一供应商。SaaS开发服务负责构建产品，SaaS产品加速器从账户、租户、角色和计费的可复用模块出发。

本文的局限性

• 本文描述的是通用模式和一般实践；正确的组合取决于您的租户、数据、地区及客户合同。
• 所引用的AWS白皮书已被AWS标注为历史参考资料；其隔离原则仍被广泛采用，但服务具体细节请参阅AWS当前指南。
• PostgreSQL作为数据库层隔离的一个示例；其他数据库提供不同的机制。
• 周期为典型范围。Printcart的描述来自其已发布的产品信息；本文不对其声称任何性能指标。

下一步

请分享您的租户概况、数据敏感性和定价模型，我们将预约解决方案评审，为您的首次发布选择隔离和计费设计。您也可以查看相关服务或浏览更多Netbase洞察。

相关服务与解决方案