這家以食品零售起家的集團(tuán)，旗下?lián)碛卸鄠€(gè)全國知名的子品牌。在品牌A的業(yè)務(wù)部門用上數(shù)據(jù)云平臺(tái)一年后，品牌B表示，“A用得不錯(cuò)，我們也在考慮上數(shù)據(jù)云平臺(tái)，部分?jǐn)?shù)據(jù)和A做個(gè)互動(dòng)，能碰撞出更多價(jià)值，也少做重復(fù)建設(shè)。”

現(xiàn)在，有3個(gè)選擇擺在這家集團(tuán)的IT團(tuán)隊(duì)面前：

方案一：品牌B獨(dú)享新一份集群資源，與品牌A共用同一套數(shù)據(jù)云平臺(tái)管理。

方案二：品牌B數(shù)據(jù)接入原有平臺(tái)，與品牌A共用一套資源及平臺(tái)。

方案三：和品牌A共用一套資源及平臺(tái)，但采用多租戶安全技術(shù)方案。

需求拆解：

要資源節(jié)約，也要數(shù)據(jù)安全

上文所述方案一，理論上是最直接的選擇：

品牌A繼續(xù)用原有資源及數(shù)據(jù)云平臺(tái)，品牌B另外采購一份新的集群資源，雙方數(shù)據(jù)物理隔離，互不搶占資源，權(quán)限也完全掌握在自己手中，安全指數(shù)極高。

奇點(diǎn)云數(shù)據(jù)云平臺(tái)DataSimba支持通過同一平臺(tái)管理多個(gè)工作空間（Workspace），因此企業(yè)無需另外購買數(shù)據(jù)云平臺(tái)，品牌A、品牌B以及該公司更多其他部門都能在各自權(quán)限內(nèi)使用該平臺(tái)。

方案一：工作空間級(jí)隔離

然而，雙份集群資源意味著雙邊資源都無法得到最大程度利用，存在一定浪費(fèi)。

平臺(tái)、資源都直接復(fù)用的方案二怎么樣？

無需重新部署，只要導(dǎo)入品牌B的數(shù)據(jù)，并在數(shù)據(jù)云平臺(tái)上為B開設(shè)新賬戶，A和B通過平臺(tái)各自管理權(quán)限內(nèi)的項(xiàng)目；雙品牌可以共享集群數(shù)據(jù)、存儲(chǔ)和計(jì)算資源，依賴平臺(tái)調(diào)度能力，品牌A和品牌B所用的資源能動(dòng)態(tài)調(diào)度，總量上更節(jié)約。

方案二：共用資源及平臺(tái)的弱邏輯隔離

方案二的優(yōu)點(diǎn)是顯而易見的，此類做法在業(yè)內(nèi)也較為常見。然而，在數(shù)據(jù)安全上稍有弱點(diǎn)：該方案的權(quán)限體系未觸及大數(shù)據(jù)集群管理引擎，就像租在同一棟樓里，有門做了隔斷，但沒有 金融 級(jí)的防盜門和監(jiān)控系統(tǒng)。奇點(diǎn)云資深架構(gòu)專家簡愉談到：“這種方案對(duì)管理員要求極高，管理員必須要細(xì)致地配置權(quán)限、角色、策略，并定期檢查收回過期的權(quán)限，才能規(guī)避違規(guī)行為。（違規(guī)行為例如，內(nèi)部運(yùn)維人員繞過上層體系，直連大數(shù)據(jù)底層集群以試圖獲取項(xiàng)目數(shù)據(jù)。）”

此外，方案二對(duì)平臺(tái)調(diào)度能力要求較高。如果平臺(tái)調(diào)度不夠“聰明”，就容易出現(xiàn)品牌B任務(wù)耗時(shí)過久、品牌A任務(wù)不得不長時(shí)間等待甚至影響業(yè)務(wù)的情況。

在資源高效利用但互不搶占、同時(shí)保障數(shù)據(jù)安全的前提下，最終，這家企業(yè)選擇了方案三：多品牌共用一套集群資源和數(shù)據(jù)云平臺(tái)，并采用多租戶安全技術(shù)方案。

（注：對(duì)于集團(tuán)企業(yè)/上市公司的財(cái)務(wù)部門而言，出于合規(guī)要求，仍更推薦采用工作空間級(jí)隔離方案，即方案一。）

方案解析：

三個(gè)“雙層”，加持多租戶安全

啥是多租戶？

“多租戶”，顧名思義，資源方把資源“租賃”給多個(gè)客戶。“租”指客戶自己沒有資源（例如計(jì)算、存儲(chǔ)、數(shù)據(jù)、服務(wù)等資源），需要租用。“多”則指資源提供方提供的資源同時(shí)被多個(gè)租戶租賃使用。

多租戶技術(shù)自提出以來已有60余年，從大型機(jī)到云計(jì)算時(shí)代，都曾得到廣泛應(yīng)用。它讓資源提供方的資源利用最大化，作為平臺(tái)身份服務(wù)更多租戶，也免去了租戶自行運(yùn)管基礎(chǔ)設(shè)施的煩惱。以企業(yè)舉例，IT團(tuán)隊(duì)負(fù)責(zé)為企業(yè)采購并管理一整套資源，其中各BU就是不同的租戶，租戶在各自的資源空間下完成自己的開發(fā)工作，而互不搶占資源、影響作業(yè)進(jìn)度。同時(shí)，管理方也可以根據(jù)各租戶長期使用情況，更合理地規(guī)劃資源。

事實(shí)上，對(duì)于“企業(yè)級(jí)”的數(shù)據(jù)資產(chǎn)管理而言，多租戶僅僅完成資源隔離還不足夠。“多租戶場景下的數(shù)據(jù)安全值得企業(yè)關(guān)注。”簡愉表示，在資源共享的情況下，如何實(shí)現(xiàn)對(duì)資源進(jìn)行租戶粒度的安全隔離，是資源提供商需要解決的核心技術(shù)問題。

為此，DataSimba在經(jīng)典的多租戶方案基礎(chǔ)上，增加了“雙層身份認(rèn)證”、“雙層權(quán)限校驗(yàn)”、“雙層存儲(chǔ)加密”，來保證租戶資源的強(qiáng)邏輯隔離與數(shù)據(jù)安全。

最終，該集團(tuán)采用了DataSimba多租戶安全方案，技術(shù)架構(gòu)長這樣：

方案三：DataSimba多租戶安全隔離

雙層身份認(rèn)證

即證明“我是誰”。

數(shù)據(jù)云平臺(tái)（例如DataSimba）和大數(shù)據(jù)集群管理引擎（例如DataKun）是兩套獨(dú)立的系統(tǒng)，有各自的賬戶體系，需要在每個(gè)系統(tǒng)入口均進(jìn)行嚴(yán)格的身份認(rèn)證。其中，DataKun開啟了Kerberos認(rèn)證，每個(gè)用戶（Unix User）都會(huì)被分配自有的Principal及Keytab文件（相當(dāng)于登錄名和密碼）。

在兩套系統(tǒng)各自完成身份認(rèn)證的情況下，完成兩套賬戶的一對(duì)一映射。此后，DataSimba的用戶（User）向DataKun提交分布式離線/實(shí)時(shí)作業(yè)，都是通過其關(guān)聯(lián)的Kerberos憑證進(jìn)行身份認(rèn)證。

雙層權(quán)限校驗(yàn)

即校驗(yàn)我是否有權(quán)限對(duì)相應(yīng)資源進(jìn)行相應(yīng)操作。

DataSimba對(duì)接口和菜單權(quán)限、數(shù)據(jù)權(quán)限均有所管控。以數(shù)據(jù)權(quán)限為例，租戶（Account）下設(shè)若干子賬號(hào)（User），子賬號(hào)的數(shù)據(jù)權(quán)限申請(qǐng)只能在租戶已租用的資源范圍內(nèi)，權(quán)限粒度可精確到表、字段、行級(jí)。只有權(quán)限校驗(yàn)通過，子賬號(hào)方可通過DataSimba向大數(shù)據(jù)集群提交作業(yè)，否則在這一層即校驗(yàn)失敗，作業(yè)/任務(wù)中止提交。

同樣，大數(shù)據(jù)集群管理引擎例如DataKun，也需要進(jìn)行權(quán)限校驗(yàn)，鑒權(quán)粒度為數(shù)據(jù)庫級(jí)數(shù)據(jù)權(quán)限，來保障大數(shù)據(jù)集群側(cè)用戶（Unix User）數(shù)據(jù)、存儲(chǔ)、計(jì)算的隔離與安全。大數(shù)據(jù)集群管理引擎理論上不限于DataKun，其它部署了安全組件的大數(shù)據(jù)集群管理引擎也可實(shí)現(xiàn)。

需要注意的是，兩層權(quán)限均是通過權(quán)限策略進(jìn)行強(qiáng)邏輯隔離。這也意味著租戶之間的計(jì)算、數(shù)據(jù)、存儲(chǔ)和服務(wù)隔離是軟隔離，可以通過動(dòng)態(tài)調(diào)整權(quán)限策略，實(shí)現(xiàn)多租戶之間的計(jì)算、數(shù)據(jù)、存儲(chǔ)和服務(wù)的共享。比如品牌A的數(shù)據(jù)云平臺(tái)租戶可以給品牌B租戶賦予數(shù)據(jù)訪問權(quán)限，即可實(shí)現(xiàn)品牌A和品牌B的數(shù)據(jù)共享，而無需進(jìn)行數(shù)據(jù)遷移。

雙層存儲(chǔ)加密

即就算試圖繞過DataSimba和大數(shù)據(jù)集群管理引擎、直接讀取源文件，也無法讀取成功。

架構(gòu)中設(shè)置了兩層文件存儲(chǔ)加密“雙保險(xiǎn)”，包括：DataSimba側(cè)基于分布式存儲(chǔ)方案，開啟透明加密；大數(shù)據(jù)集群引擎?zhèn)乳_啟底層文件加密和密鑰的管理權(quán)限獨(dú)立托管。

為什么權(quán)限管控一定要“雙層”？

實(shí)際上，從技術(shù)實(shí)現(xiàn)來看，數(shù)據(jù)權(quán)限管控壓縮成一層似乎也無妨：

統(tǒng)一在大數(shù)據(jù)集群側(cè)大數(shù)據(jù)安全組件中實(shí)現(xiàn)對(duì)數(shù)據(jù)云平臺(tái)DataSimba用戶的表、字段、行級(jí)數(shù)據(jù)權(quán)限管控。子賬號(hào)（User）在通過DataSimba向集群管理引擎提交Hive/Spark/Flink等大數(shù)據(jù)作業(yè)任務(wù)時(shí)，使用其集群側(cè)的Kerberos憑證即可。這也是業(yè)內(nèi)很多大數(shù)據(jù)平臺(tái)服務(wù)商所采用的方案。

然而，從自主可控的數(shù)據(jù)安全要求來看，設(shè)置雙層數(shù)據(jù)權(quán)限管控是極為必要的。

在許多客戶的實(shí)際場景中，數(shù)據(jù)云平臺(tái)和大數(shù)據(jù)集群管理引擎可能是獨(dú)立運(yùn)營的，其廠牌不同，底層大數(shù)據(jù)集群管理還可能交由特定部門維護(hù)。因此，企業(yè)內(nèi)負(fù)責(zé)數(shù)據(jù)云平臺(tái)的部門及其服務(wù)商能否在集群管理引擎安裝安全插件，就成了不確定性。也就是說，數(shù)據(jù)云平臺(tái)如果本身沒有嚴(yán)格的數(shù)據(jù)權(quán)限管控體系，而完全依賴于集群管理的安全政策，就難以100%確保數(shù)據(jù)安全。

因此，DataSimba設(shè)置了數(shù)據(jù)權(quán)限代理層，解耦數(shù)據(jù)云平臺(tái)與客戶大數(shù)據(jù)集群管理的安全性依賴，從而實(shí)現(xiàn)在不侵入大數(shù)據(jù)集群管理引擎的前提下，依舊有與大數(shù)據(jù)安全組件等同能力的數(shù)據(jù)權(quán)限管控。

近期，該零售集團(tuán)已完成DataSimba多租戶技術(shù)架構(gòu)的部署。在多個(gè)數(shù)據(jù)團(tuán)隊(duì)互不搶占資源的同時(shí)，相較傳統(tǒng)方案，更節(jié)約了50%的大數(shù)據(jù)集群計(jì)算節(jié)點(diǎn)。同時(shí)，通過動(dòng)態(tài)的權(quán)限管控，支持租戶間（例如跨部門）數(shù)據(jù)安全共享，而無需數(shù)據(jù)遷移成本。

Tips：

奇點(diǎn)云數(shù)據(jù)云平臺(tái)DataSimba最新 商業(yè) 化版本發(fā)布！極速版、專業(yè)版、旗艦版、紅旗版，四大版本滿足不同企業(yè)需求。

其中，旗艦版、紅旗版DataSimba均具備多租戶能力，目前已在十余家企業(yè)完成落地實(shí)踐，包括旗下有 汽車 、工業(yè)技術(shù)等多業(yè)態(tài)的知名工業(yè)集團(tuán)，創(chuàng)新機(jī)器人領(lǐng)域的 科技 公司，及知名酒類貿(mào)易集團(tuán)等等。

各版本特色及多租戶架構(gòu)等詳情，可聯(lián)系奇點(diǎn)云客戶成功經(jīng)理/產(chǎn)品技術(shù)顧問了解。