Mandantenisolationsmuster für mandantenfähige Unternehmensplattformen

Eine tenant_id-Spalte ist nützlich, aber keine Isolationsstrategie. Anfragen bewegen sich über Browser, APIs, Dienste, Warteschlangen, Caches, Objektspeicher, Exporte und Support-Workflows. Jede Grenze benötigt eine eindeutige Mieteridentität und eine Regel dafür, was sie überschreiten darf.

Die sicherste Standardeinstellung besteht darin, den Mandantenkontext aus der authentifizierten Mitgliedschaft und dem serverseitigen Routing abzuleiten – und nicht aus einer willkürlichen, vom Client akzeptierten Kennung.

Gemeinsam genutzte Tabellen, separate Schemata und separate Datenbanken bieten unterschiedliche Betriebs- und Isolationseigenschaften. Die richtige Wahl hängt von Umfang, Anpassung, regulatorischen Erwartungen, Noisy-Neighbor-Risiko, Backup- und Wiederherstellungsanforderungen und Betriebskapazität ab.

Hybridmodelle sind weit verbreitet: Die meisten Mandanten nutzen ein gut indiziertes Schema, während ausgewählte Arbeitslasten eine stärkere physische Trennung erfahren. Die Anwendung sollte diese Platzierung hinter stabilen Repositorys oder Diensten verbergen.

Rollennamen allein sind meist zu weit gefasst. Bei der Autorisierung sollten die Organisation, das Unterkonto, der Ressourceneigentum, das aktivierte Modul, die angeforderte Aktion und manchmal auch der Datensatzstatus berücksichtigt werden.

Zentrale Richtlinienhelfer reduzieren Inkonsistenzen, Domänendienste müssen jedoch weiterhin Invarianten erzwingen. Die Sicherheit auf Datenbankzeilenebene kann die Tiefenverteidigung erhöhen, wenn Verbindungs- und Kontextmanagement streng sind.

Jeder Job sollte einen unveränderlichen Mandanten- und Akteurskontext enthalten, ihn während der Ausführung erneut validieren und Ausgaben an mandantenbezogene Speicherorte schreiben. Generische Cache-Schlüssel, wiederverwendete temporäre Verzeichnisse und Exportdateinamen ohne Gültigkeitsbereich können die ansonsten sorgfältige API-Autorisierung umgehen.

Happy-Path-Tests beweisen, dass ein Benutzer auf seine Daten zugreifen kann. Isolationstests beweisen, dass Identifikatoren, Filter, Exporte, Webhooks, Suche und Timing die Daten eines anderen Mandanten nicht offenlegen können.

Erstellen Sie in Integrationstests zwei Mandanten und versuchen Sie systematisch grenzüberschreitende Lesevorgänge und Mutationen. Beziehen Sie Worker, Batch-Vorgänge, Verwaltungstools und Fehlerpfade ein – nicht nur HTTP-Endpunkte.