RLSを用いたマルチテナント実装 for Django

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Takayuki Shimizukawa
2021/7/3(土)
DjangoCongress JP 2021
RLSを用いたマルチテナント実装
for Django
1

@shimizukawa （清水川）
● BeProud 取締役 / IT Architect
○ 受託開発（Webアプリ / 機械学習 / 数理最適化）
○ 自社サービス（connpass / PyQ / TRACERY）
○ Python研...

1版: 2010/5/28
2版: 2018/2/26
3版: 2021/7/30
1版: 2013/09/12
2版: 2017/10/20
2018/02/23
2020/02/27
1版: 2012/03/27
2版: 2015/02/2...

このトークで紹介すること
マルチテナントアーキテクチャにおけるデータ分割アプロー
チのひとつ「共有アプローチ」を、PostgresのRow Level
Security (RLS)を用いてDjangoで安全に実現する方法を紹介
します。
またこ...

アジェンダ
● マルチテナント概要と課題
● RLS: Row Level Security
● DjangoではRLSどうなるの？
● Djangoデモ
● マルチテナントの開発と運用
● まとめ
● 参考資料
5

マルチテナントの概要と課題
6

マルチテナントの概要
マルチテナントは、複数のテナント（チーム・組織）向けにサービスを提供
するシステムです。
● マルチテナント
○ 1つのシステムに複数の顧客
○ 顧客同士はデータが隔離されている
○ 顧客同士は存在を知らない
● 対義語:...

Multi-Tenant Magic: Under the Covers of the Force.com data
Architecture より
8
シングルテナントアーキテクチャ
ユーザー企業ごとにデータベースを用
意すると、データベース...

マルチテナントの課題
マルチテナントによって、運用時の費用を下げたい。
しかし導入においては、テナント相互の情報分離、つまりデータ混濁が発生
しないと保証されていることが大事です。
「各プログラマが努力して実装する」戦略でもマルチテナントを実現...

データ混濁
提供するデータに期待しないデータが混ざり込むこと。
ある顧客データのなかに別の顧客データが混ざりこむ等。
● 個人情報が他の会社に見えちゃった
● 売上額の集計値に他の会社の売上が混ざる
マルチテナントアーキテクチャは、データ混濁を...

マルチテナントアーキテクチャ
データ混濁を避ける、複数のマルチテナントアーキテクチャが考案されています
。
マルチテナント SaaS パターン - Azure SQL Database | Microsoft Docs による分
類では、マルチ...

マルチテナントアーキテクチャ
1. スタンドアロンアプリ（DB分離、アプリ分離）
○ DB・アプリもテナント毎に用意、ユーザーには極めて柔軟
○ 運用コストはもっともかかる
2. テナント単位データベース（DB分離/準分離、アプリ共有）
○ D...

DB分割アプローチ
DB層でデータ混濁を避けるための、3つのDB分割アプローチ
1. 分離(isolated)
○ DBを分ける（≒ シングルテナントDB）
2. 準分離(semi-isolated)
○ DBは1つ、スキーマ/名前空間を分ける...

DB準分離アプローチの特徴
● 1つのDBインスタンス内に、テナント別スキーマ
○ ただし、一部のテーブルはPublicスキーマに配置
● 仕組みが複雑で、通常運用が基本大変
● アプリからは、スキーマ指定でDBにアクセス
○ Django拡張...

DB共有アプローチ
DB共有アプローチの特徴
● DB、スキーマが全体で1つ
● 仕組みがシンプルで、通常運用が基本楽
● WHERE句にTenantIDを指定必須
○ Django拡張はあまりない
採用を避ける理由
● ミスると、データ混濁が...

DB分割アプローチ, Pros, Cons
5000テナントの場合の例
(django-easy-tenants · PyPIを元に追記)
16

メリット
● テーブルがスキーマ単位で分かれている（データ隔離）
○ データ混濁が発生しにくい、複数スキーマのデータが混在しない
● テナント個別の制御がしやすい
○ バックアップ、リストアが容易
○ 負荷が高いテナントがあるとき、DB分離に切...

メリット
● スキーマはひとつ、テーブル構造もひとつ
● テナント個別の制御が不要
○ 管理ユーザーは、テナントをまたいで管理しやすい
○ 大抵はマルチテナントを忘れられるため、通常の実装 & 管理コストが低い
デメリット
● テナント個別の制...

DB準分離 vs DB共有
19
django-tenantsのような拡張も公開
されてますし！
コードレベルで変更が必要な箇所は
分かってます！
準分離はテナント数が増えた場合の運用コス
トが大きい！
DB共有なら省リソース・省コストで、RL...

RLS: Row Level Security

RLS: Row Level Securityとは
● Row Level Security = 行レベルのアクセス制御
● データベース層でデータ混濁を回避する技術
○ SQL実行時に、アクセス権限のある行だけが返される
○ WHERE句の指...

customers テーブル
id name tenant_id
1 customer_1 2
2 customer_2 2
3 customer_3 3
4 customer_4 1
5 customer_5 3
6 customer_6 1...

23
どういう仕組み？

db=# CREATE TABLE rls (id SERIAL PRIMARY KEY, tenant_id INTEGER);
db=> INSERT INTO rls (tenant_id) VALUES (1),(2),(3),(1),...

db=# CREATE ROLE “1”; -- tenant_id=1 の行のみアクセスできるROLE（予定）
db=# SET ROLE “1”;
db=> SELECT * FROM rls;
ERROR: permission deni...

db=# GRANT ALL ON ALL TABLES IN SCHEMA public TO ”1”;
db=# GRANT ALL ON ALL SEQUENCES IN SCHEMA public TO ”1”;
db=# SET RO...

db=# ALTER TABLE rls ENABLE ROW LEVEL SECURITY;
db=# SET ROLE “1”;
db=# SELECT * FROM rls;
id | tenant_id
----+-----------...

db=# CREATE POLICY foo ON rls USING(tenant_id::text = current_user);
db=# SET ROLE “1”;
db=# SELECT * FROM rls;
id | tenan...

DjangoではRLSどうなるの？
29

tenant=2 で
ログイン
2
dbで接続
セッションでのSELECT
30
全行
■User ■Role ■RLS
customers テーブル
id name tenant_id
1 customer_1 2
2 customer_2 ...

customers テーブル
id name tenant_id
1 customer_1 2
2 customer_2 2
3 customer_3 3
4 customer_4 1
5 customer_5 3
6 customer_6 1...

tenant=2 で
ログイン
2
tenant_id =2 の全行
Postgres users
“db” User
“1” Role
“2” Role
“3” Role
dbで接続
SET ROLE “2”;
SELECT * FROM c...

customers テーブル
id name tenant_id
1 customer_1 2
2 customer_2 2
3 customer_3 3
4 customer_4 1
5 customer_5 3
6 customer_6 1...

Django でRLSを使うには（まとめ）
34
初期化
1. 代理ROLEを作成し、全テーブルのGRANT ALLを設定
2. テナント制御するテーブルにRLS有効化&ポリシー設定
都度
1. CREATE ROLE -- テナント追加時
2...

1 & 2. 初期化
35
db=# CREATE ROLE “tenantuser”;
db=# GRANT ALL ON ALL TABLES IN SCHEMA public TO ”tenantuser”;
db=# GRANT ALL...

3. CREATE ROLE -- テナント追加時
36
■User ■Role ■RLS
from django.db.models.signals import post_save
def on_create_tenant(sender, ...

4. SET ROLE -- Middlewareでテナント判別
37
■User ■Role ■RLS
https://docs.djangoproject.com/ja/3.2/topics/http/middleware/
class R...

4. SET ROLE -- Middleware以外でもテナント設定
38
■User ■Role ■RLS
https://django-tenants.readthedocs.io/en/latest/use.html#tenant_co...

デモ
39

マルチテナントの開発と運用
40

各RDBMSのRLS対応状況
2021/05 調査時点
● PostgreSQL 9.5 (2016) 以降
○ https://www.postgresql.org/docs/9.5/ddl-rowsecurity.html
設定方法などのサ...

シングルテナント < マルチテナント
● 分離 = シングルテナントの場合
○ データ混濁について考える必要はない
● 準分離（スキーマ分離）アプローチにした場合
○ 共有するテーブルと分離するテーブルを管理し、専用のマイグレーション手順を用意...

テナント数の増加に合わせて変化
● 運用では、テナント数と管理対象が比例する
● DBやアプリのインスタンス毎に担当者が必要
運用コスト
43
少テナント数多
大 DB数小
大運用・改修コスト小
大リソース小

● パフォーマンス測定を行い、N+1等は解消しておく
○ RLSにより負荷は上がるため、顕著になってしまう
● 作り方によってはINDEXが効かない等の問題がある
○ ROLE名によるPOLICY適用時に、フルスキャンが発生等
● コネクション...

● ROLE設定を忘れないようにする
○ 今回のデモではMiddlewareで自動設定した
○ 管理コマンド等Middlewareを通らないケースがあるので、そこは実装で努力
○ ROLE設定を忘れると、「全テナントのデータが漏洩する」
■ S...

まとめ
RLSのメリット
● コンピューターリソースを無駄なく最大限活用できる
● マイグーレーション時間が線形増加しない
● テナント個別の特別対応をしない、という潔さ
RLSのデメリット
● クエリ負荷の上昇は避けられない
● テナント個別...

参考資料
マルチテナント
● マルチテナント SaaS パターン - Azure SQL Database | Microsoft Docs
● Web アプリケーションをマルチテナント型 SaaS ソリューションに変換する IBM Devel...

Special Thanks! -- Review頂いたみなさん
BeProud slack
● kashew, delhi09, susumuis, tell-k, mtb_beta, altnight
django-ja Discord
●...

and…
Thanks for all attendees!!
by @shimizukawa
49

Share Slideshare

LinkedIn
Facebook
Twitter

Embed

Size (px)

Show related Slideshows at end

WordPress Shortcode

Link

Share
Email

2024 Trend Updates: What Really Wor... by Search Engine Jou... 1033581 views
Storytelling For The Web: Integrate... by Chiara Aliotta 945137 views
Artificial Intelligence, Data and C... by OECD Directorate ... 865593 views
How to Leverage AI to Boost Employe... by SocialHRCamp 363144 views
2024 State of Marketing Report – by... by Marius Sescu 206375 views
Everything You Need To Know About C... by Expeed Software 226977 views

View on Slideshare

1 of 49 Ad

View on Slideshare

1 of 49 Ad