Tenencia con Seguridad a Nivel de Fila

Las plantillas de políticas por nivel de inquilino convierten la disciplina de tenant_id en aislamiento aplicado por la base de datos, una red de seguridad cuando los filtros de la aplicación fallan.

Receta

Tarjeta de receta de referencia rápida, lista para copiar y pegar.

ALTER TABLE invoices ENABLE ROW LEVEL SECURITY;
ALTER TABLE invoices FORCE ROW LEVEL SECURITY;
 
CREATE POLICY invoices_tenant_select ON invoices
  FOR SELECT
  USING (tenant_id = current_setting('app.tenant_id', true)::uuid);
 
CREATE POLICY invoices_tenant_insert ON invoices
  FOR INSERT
  WITH CHECK (tenant_id = current_setting('app.tenant_id', true)::uuid);
 
CREATE POLICY invoices_tenant_update ON invoices
  FOR UPDATE
  USING (tenant_id = current_setting('app.tenant_id', true)::uuid)
  WITH CHECK (tenant_id = current_setting('app.tenant_id', true)::uuid);

Cuándo usar esto:

• SaaS multi-inquilino de esquema compartido con expectativas de cumplimiento (preparación para SOC2, HIPAA).
• Múltiples servicios consultan las mismas tablas con diferentes rutas de código.
• Necesitas defensa en profundidad más allá del alcance del ORM.

Ejemplo de Trabajo

BEGIN;
 
CREATE TABLE tenants (
  tenant_id  uuid PRIMARY KEY,
  tier       text NOT NULL CHECK (tier IN ('starter', 'business', 'enterprise'))
);
 
CREATE TABLE files (
  tenant_id  uuid NOT NULL REFERENCES tenants (tenant_id),
  file_id    bigint GENERATED ALWAYS AS IDENTITY,
  name       text NOT NULL,
  PRIMARY KEY (tenant_id, file_id)
);
 
ALTER TABLE files ENABLE ROW LEVEL SECURITY;
ALTER TABLE files FORCE ROW LEVEL SECURITY;
 
-- Política estándar de aislamiento de inquilinos
CREATE POLICY files_tenant_isolation ON files
  USING (tenant_id = current_setting('app.tenant_id', true)::uuid)
  WITH CHECK (tenant_id = current_setting('app.tenant_id', true)::uuid);
 
-- El soporte de plataforma permite el acceso de solo lectura para tickets de nivel empresarial únicamente
CREATE ROLE support_reader;
CREATE POLICY files_support_read ON files
  FOR SELECT
  TO support_reader
  USING (
    EXISTS (
      SELECT 1 FROM tenants t
      WHERE t.tenant_id = files.tenant_id
        AND t.tier = 'enterprise'
    )
  );
 
GRANT SELECT ON files TO support_reader;
GRANT support_reader TO support_agent;
 
COMMIT;

Lo que esto demuestra:

• FORCE ROW LEVEL SECURITY aplica políticas también a los propietarios de tablas.
• Políticas separadas por comando (SELECT, INSERT, UPDATE) cuando sea necesario.
• Acceso de soporte específico del nivel a través de políticas dirigidas a roles.

Inmersión Profunda

Cómo Funciona

• RLS añade expresiones de política a cada plan de consulta como calificadores de filtro.
• current_setting('app.tenant_id', true) devuelve NULL si no está establecido; la política debe fallar cerrando (sin filas).
• El atributo BYPASSRLS en el superusuario/propietario omite las políticas a menos que se establezca FORCE.
• Las políticas son por tabla: cada tabla de inquilino necesita cobertura; las lagunas son vulnerabilidades.

Plantillas de Políticas por Nivel

Notas SQL

-- Verificar que RLS esté habilitado en todas las tablas de inquilinos
SELECT c.relname, c.relrowsecurity, c.relforcerowsecurity
FROM pg_class c
JOIN pg_namespace n ON n.oid = c.relnamespace
WHERE n.nspname = 'public' AND c.relkind = 'r'
  AND c.relname NOT LIKE 'pg_%';

Trampas

• RLS sin FORCE - el propietario de la tabla omite las políticas en las migraciones. Solución: FORCE ROW LEVEL SECURITY en las tablas de datos de inquilinos.
• Política faltante en tabla nueva - envío de funciones con fugas. Solución: lista de verificación de migración + consulta CI contra pg_policies.
• GUC obsoleto en conexión agrupada - inquilino incorrecto después de la reutilización. Solución: SET app.tenant_id en cada solicitud; PgBouncer DISCARD ALL.
• Herramientas BI de superusuario - Metabase se conecta como propietario, ve todos los inquilinos. Solución: rol dedicado de solo lectura sin bypass.
• Rendimiento de políticas - subconsulta compleja por fila. Solución: comparar tenant_id con GUC directamente; indexar tenant_id.

Alternativas

Preguntas Frecuentes

Relacionado

• Esquema Compartido + tenant_id - diseño de columna e índice
• Roles y Permisos RLS - mecánica general de RLS
• Mejores Prácticas Multi-inquilino - casos negativos de CI
• Esquema por Inquilino - cuando RLS no es suficiente

Versiones de Stack: Esta página fue escrita para PostgreSQL 18.4 (estable 18, mantenimiento 17), pgvector 0.8+, PgBouncer 1.x, Patroni 3.x, y PostGIS 3.5+.