Eine Multi-Tenant-Anwendung betreibt mehrere Kundenumgebungen mit einer gemeinsamen Codebasis. Sie müssen festlegen, welche Daten und Funktionen geteilt werden und wo die Grenzen zwischen Kunden liegen. Die Wahl des Datenmodells ist dabei ein Teil der gesamten Zugriffskontrolle.
Die Isolationsmodelle vergleichen
In gemeinsamen Tabellen wird ein Datensatz einem Tenant zugeordnet. Alle Zugriffe müssen diese Zuordnung beachten. Zusätzliche Datenbankregeln können eine Schutzschicht bilden, benötigen aber eine passende Konfiguration und Tests.
Bei einem Schema pro Tenant sind Tabellen innerhalb einer Datenbank getrennt. Pakete wie django-tenants unterstützen diesen Aufbau. Ein Schema ist jedoch keine automatische Sicherheitsgrenze gegen jedes Konto oder einen fehlerhaften Anwendungskontext. Prüfen Sie Datenbankrechte und den Wechsel des Schemas ausdrücklich.
Eine eigene Datenbank pro Tenant trennt einen weiteren Teil des Betriebs. Zugänge, Backups, Migrationen und Überwachung werden dadurch aufwendiger. Daraus folgt keine physische Trennung, wenn die Datenbanken weiterhin dieselbe Infrastruktur nutzen.
Den Tenant-Kontext durch den ganzen Ablauf tragen
Der Tenant muss aus einer überprüften Identität oder einer kontrollierten Zuordnung abgeleitet werden. Übernehmen Sie ihn nicht ungeprüft aus einer frei veränderbaren Anfrage. Berücksichtigen Sie APIs, Exporte, Verwaltungsfunktionen und Hintergrundaufgaben.
Cache-Schlüssel, Dateiablagen und Suchindizes brauchen dieselbe Trennung wie Datenbankabfragen. Ein Präfix in einem Dateinamen ersetzt keine Zugriffsprüfung. Testen Sie mit verschiedenen Tenants, ob fremde Objekte direkt oder indirekt erreichbar sind.
Migration und Betrieb anhand der Last planen
Prüfen Sie Rollouts und Wiederherstellung mit dem tatsächlichen Bestand. Mehr Schemas oder Datenbanken verändern den Wartungsablauf. Eine feste Tenant-Zahl belegt nicht, wann die Infrastruktur an ihre Grenze kommt.
Messen Sie Ressourcenverbrauch, Wartezeiten und die Wirkung einzelner besonders aktiver Kunden. Legen Sie Grenzen und einen Ausfallweg fest. Hintergrundarbeit benötigt einen ausdrücklich gesetzten und nach der Aufgabe bereinigten Tenant-Kontext.
Abrechnung unabhängig nachvollziehbar machen
Erfassen Sie abrechnungsrelevante Ereignisse mit eindeutiger Zuordnung. Die Verarbeitung von wiederholt gelieferten Webhooks muss dieselbe fachliche Wirkung behalten. Preisregeln, Nutzungsgrenzen und Änderungen brauchen dokumentierte Zuständigkeiten.
Wählen Sie das Modell anhand von Anforderungen, Datenzugriff und Betriebsaufwand. Eine gemeinsame Codebasis erzeugt weder automatisch eine vollständige Isolation noch eine bestimmte Kostenersparnis.
Wir erstellen Ihnen ein individuelles Angebot. Bitte kontaktieren Sie uns.
Weiterführende Dokumentation: django-tenants: Dokumentation.