Один сервер — сотни арендаторов: как мультитенантность экономит ресурсы и упрощает администрирование

Представьте холдинг с десятком дочерних компаний. У каждой — свои сотрудники, свои токены, свои политики безопасности. И каждой нужна двухфакторная аутентификация. Ставить отдельный сервер для каждой организации — дорого и сложно. Держать всех в одной базе — рискованно.

Решение есть, и оно называется многоуровневой мультиарендностью (multi-tier multi-tenant). В Secure Authentication Server (SAS) от MFASOFT эта архитектура позволяет на одном экземпляре продукта обслуживать множество организаций — с собственными настройками, пользователями и журналами аудита. Подробнее — мультитенантность.

Что такое мультитенантность и зачем она нужна

Мультитенантность (multi-tenant) — это архитектурный принцип, при котором один экземпляр программного продукта обслуживает нескольких независимых пользователей (арендаторов). Каждый арендатор получает собственные настройки, политики и данные, но использует общую инфраструктуру.

Пользователи, их токены и целевые ресурсы распределяются по аккаунтам. Аккаунты могут создаваться по разным принципам:

• Функциональному. По целевым ресурсам.
• Географическому. По регионам.
• Ролевому. По функциям пользователей.
• Организационному. По подразделениям или организациям.

Архитектура SAS: независимые модули

Сервер аутентификации Secure Authentication Server состоит из нескольких независимых модулей, каждый из которых выполняет определённый набор функций.

Модули SAS

• Модуль аутентификации. Для проверки одноразовых паролей и ПИН-кодов.
• Консоль управления. Для настройки и администрирования решения.
• Модуль активации. Для активации выданных пользователю токенов.
• Портал самообслуживания. Для самостоятельного сброса ПИН-кода и синхронизации токенов.
• Модуль синхронизации LDAP. Приём информации от агентов LDAP и запись в базу данных SAS.
• Модуль отчётности. Формирование отчётов по шаблонам с запуском мгновенно или по расписанию.

Как это работает для пользователя

1. Вход. Пользователь обращается к целевому ресурсу и видит форму входа.
2. Идентификатор. Вводит свой логин.
3. Одноразовый пароль. Получает с устройства и вводит с ПИН-кодом.
4. Проверка. Целевой ресурс отправляет данные на сервер аутентификации.
5. Результат. Сервер проверяет данные в своей базе.

Иерархия аккаунтов: сервис-провайдеры и подписчики

Все аккаунты связаны в многоуровневое дерево. Это позволяет реализовать централизованное, делегированное или совместное администрирование виртуальных серверов.

Типы аккаунтов

• Подписчики. Аккаунты подразделений или организаций, которые используют решение только для себя.
• Сервис-провайдеры. Аккаунты, которые могут не только пользоваться решением, но и предоставлять доступ к нему другим аккаунтам.

Что получает каждый аккаунт

• Свой виртуальный сервер аутентификации. Тот же экземпляр продукта, но со своими настройками.
• Собственные политики. Относящиеся только к этому аккаунту.
• Операторы. Свои администраторы.
• Список пользователей. Только свои сотрудники.
• Пул токенов. Собственные токены.
• Журнал аудита. Свои события.
• Список узлов аутентификации. Свои целевые ресурсы.

Пример иерархии

Организация-арендатор может сама стать провайдером и предоставлять доступ своим субарендаторам — таким же сервис-провайдерам или конечным подписчикам. В среде одной организации этот принцип позволяет делегировать управление разным подразделениям.

Сравнение: мультитенантность vs изолированные инсталляции

Мультитенантность выигрывает по стоимости и удобству администрирования. Отдельные инсталляции — только если требуется физическая изоляция по требованиям регуляторов.

Сценарии использования мультитенантности

Архитектура multi-tier multi-tenant подходит для разных задач. Вот основные сценарии.

Холдинги и группы компаний

• Делегирование. Каждое подразделение управляет своими пользователями.
• Централизация. Головная компания контролирует политики.
• Изоляция. Данные подразделений не пересекаются.

Сервис-провайдеры

• Предоставление услуг. Провайдер предлагает MFA своим клиентам.
• Субаренда. Клиенты могут создавать своих подписчиков.
• Масштабирование. Добавление новых клиентов без новых серверов.

Облачные решения

• Мультиарендная модель. Один экземпляр для многих клиентов.
• Гибкость. Настройка под каждого арендатора.
• Экономия. Общая инфраструктура.

Чек-лист внедрения мультитенантной аутентификации

Перед внедрением проверьте эти пункты — они помогут избежать ошибок.

1. Структура. Как будут организованы аккаунты: по подразделениям, регионам, клиентам?
2. Иерархия. Кто будет сервис-провайдером, а кто — подписчиком?
3. Администрирование. Централизованное, делегированное или совместное?
4. Изоляция. Нужна ли физическая изоляция для отдельных арендаторов?
5. Токены. Как будет распределяться пул токенов между аккаунтами?
6. Аудит. Как будут храниться журналы разных аккаунтов?
7. Масштабирование. Сколько арендаторов планируется в перспективе?
8. Сертификация. Нужна ли сертифицированная версия для регуляторов?

Мультитенантность — это не просто техническая функция. Это способ строить бизнес на аутентификации: обслуживать многих клиентов эффективно, безопасно и с минимальными затратами.

Частые вопросы о мультитенантности