ReadyOn在EKS上构建四层租户隔离架构

ReadyOn为运行在Amazon Elastic Kubernetes Service（EKS）上的Harmony劳动力智能平台设计了四层租户隔离体系，分别覆盖Kubernetes、计算资源、网络和数据。Harmony面向企业处理薪资、组织层级及运营分析等敏感信息，架构采用命名空间、专用Karpenter节点池、VPC安全组和独立Aurora数据库，限制租户之间的访问路径。

ReadyOn将这些控制措施映射到包含10个阶段的多租户威胁模型中，重点检验某个租户工作负载遭到入侵后是否能够横向移动。公司称，截至目前进行的多轮对抗性演练都没有发现可成功利用的跨租户路径。斯坦福大学商学院教授Mohammad Akbarpour认为，AI能力不断增强的同时，围绕不可访问数据和工作流建立牢固边界是更广泛的安全挑战。Sparq亚马逊云科技首席工程师William Antonio G也指出，多租户环境会让威胁模型发生根本变化，不能简单沿用单租户集群的加固思路。

第一层隔离位于Kubernetes内部：每个租户拥有独立命名空间，并启用RBAC、资源配额、准入控制以及默认拒绝的网络策略。ReadyOn通过Argo CD ApplicationSets，根据Git配置自动生成资源，为各租户提供一致的基线，并持续纠正未授权修改。第二层针对计算资源，Karpenter为每个租户预置专用节点池，并设置租户标识和工作负载类型两组污点；Pod必须同时满足两组容忍条件才能调度，准入控制器还会核验容忍配置是否与命名空间所属租户匹配。

第三层延伸至Kubernetes底层基础设施：每个租户使用独立VPC安全组，数据库连接仅允许来自对应租户节点池；命名空间之间继续执行默认拒绝的网络策略。EKS API端点设置为私有访问，并结合VPN、OpenID Connect和多因素认证。第四层则为每个租户配置独立Aurora集群，避免仅依赖共享数据库的行级过滤，同时使用限定租户范围的AWS Secrets Manager路径、通过IAM Roles for Service Accounts获取的短期凭证，以及专用可观测性后端。

相关云平台文档提醒，命名空间、RBAC、配额和网络策略主要提供逻辑隔离，无法阻止工作负载共享底层节点；如需更强隔离，还应采用节点选择器、亲和性规则或污点与容忍配置。工程师Juan Pablo Gaviria进一步指出，追踪数据必须把工作负载身份与数据库、网络层控制关联起来，才能发现不同防线之间的缺口。ReadyOn因此保留共享EKS环境，但将租户边界扩展到调度、网络和专用数据基础设施，并把多层控制视为相互重叠的防线，而非依赖任何单一层级。