Modelos de aislamiento de inquilinos

Un inquilino es un cliente de la plataforma: una empresa, con sus usuarios y sus datos. El modelo de aislamiento es la manera de repartir la infraestructura entre inquilinos. En el extremo más separado, cada inquilino tiene su propia base de datos (en esta sala, silo): cuesta más, pero un fallo o una mala consulta en otra base no lo toca. En el extremo más compartido, todos los inquilinos comparten la misma base y cada fila lleva un identificador de inquilino (pool): cuesta poco, pero todo el aislamiento depende de que ese identificador se aplique siempre. En medio hay variantes, como un esquema propio por inquilino dentro de una base común (puente).

No hay un modelo «correcto»: hay uno que encaja con lo que el contrato promete y con lo que el cliente paga. Lo que el análisis de seguridad exige es que lo prometido y lo construido coincidan. Abre SELECT * FROM modelos y lee las columnas «datos» y «alcance_de_un_fallo».

La ficha de un inquilino guarda dos cosas que deben decir lo mismo: el modelo en el que vive y lo que su contrato exige. Cuando no coinciden no hay un incidente todavía, hay una promesa que la plataforma no cumple, y eso es un hallazgo aunque nadie haya visto datos ajenos.

Abre SELECT * FROM inquilinos y compara las columnas «modelo» y «exige_aislamiento». Un inquilino que exige aislamiento puede estar bien servido (silo) o no. Busca el que no.

En un pool, el aislamiento tiene dos piezas. La primera es que toda tabla con datos de inquilinos lleve una columna que diga de quién es cada fila. La segunda es que la base aplique una política que, para cada sesión, solo deje ver las filas de su inquilino (una política de filas), de modo que no dependa de que cada consulta de la aplicación se acuerde de filtrar. Sin la primera pieza no puede haber la segunda: no hay con qué filtrar.

Abre SELECT * FROM tablas_compartidas. Hay una tabla de configuración global que no guarda datos de inquilinos y no cuenta. Busca la que sí los guarda y no tiene siquiera la columna.

Una tabla con columna de inquilino pero sin política de filas sigue aislada solo mientras cada consulta de la aplicación incluya el filtro. Basta una consulta nueva, un informe hecho a prisa o una ruta olvidada para que ese aislamiento se rompa. Por eso interesa medir cuánta información queda en esa situación: es lo que se prioriza al asignar la política.

Suma los miles de filas de todas las tablas que guardan datos de inquilinos y no tienen política de filas, cuenten o no con la columna.

Un hallazgo de aislamiento se redacta con lo observado, la promesa que se incumple y una decisión con dueño. No se «arregla» moviendo a un inquilino por la noche: cambiar de modelo mueve datos, afecta al cliente y puede necesitar su acuerdo. La decisión es de quien responde por el contrato y por la plataforma, y el analista le da los elementos para decidir.