Multi-tenant data-toegangspatronen en IAM-beleid

Dataopslagdiensten gebruiken in AWS

Dunieski Otano

AWS Solutions Architect

De multi-tenant datalek

• SaaS-app bedient 1.000 bedrijven
• Bug in code staat tenant-overschrijdende toegang toe
• Medewerker van Bedrijf A ziet data van B
• Gevolg: Klantverlies, rechtszaken, imagoschade

Multi-tenancy begrijpen

• Wat is multi-tenant?
  • Meerdere klanten delen infrastructuur
• Voordelen
  • Kostenefficiënt, makkelijker onderhoud
• Uitdaging
  • Volledige data-isolatie borgen

Partition key per tenant-patroon

• Ontwerp
  • tenantId als partition key
  • Neem tenantId op in elk item
• Voordelen
  • Kosteneffectief, schaalt naar duizenden
• Vereisten
  • Strikte toegangscontrole, IAM-beleid

Losse tabellen per tenant-patroon

• Ontwerp
  • Eigen tabel per tenant
• Voordelen
  • Betere isolatie, makkelijker compliance
• Nadelen
  • Complex beheer, tabel limieten

Losse databases per tenant-patroon

• Ontwerp
  • Eigen database per tenant
• Voordelen
  • Volledige isolatie, maatwerkconfiguraties
• Nadelen
  • Hoogste kosten, operationele overhead

IAM-voorwaardesleutels voor tenant-isolatie

• dynamodb:LeadingKeys
  • Beperkt toegang tot partition key
• Voorbeeldbeleid
  • "Toestaan als tenantId = tenant-123"
• Handhaving
  • AWS handhaaft op API-niveau

Defense in depth implementeren

• Laag 1: Applicatie
  • Controleer tenantId in code
• Laag 2: IAM-beleid
  • Voorwaardesleutels afdwingen isolatie
• Laag 3: Databaseontwerp
  • Partition key zorgt voor fysieke scheiding

Testen en validatie

• Test tenant-overschrijdende toegang
  • Probeer data van andere tenant te lezen
  • Moet falen met AccessDeniedException
• Auditlogging
  • CloudTrail logt alle pogingen
• Regelmatige reviews
  • Evalueer IAM-beleid en toegangspatronen

Gefeliciteerd!

• AWS Datastores: DynamoDB, S3, ElastiCache, OpenSearch
• Ontwerp & Optimaliseer: Tabelontwerp, opslagoptimalisatie
• Beveilig data: Encryptie, secrets management, multi-tenant isolatie

Laten we oefenen!

Dataopslagdiensten gebruiken in AWS