Tenancy com Segurança em Nível de Linha

Modelos de política por nível de tenant transformam a disciplina de tenant_id em isolamento imposto pelo banco de dados - uma rede de segurança quando os filtros da aplicação falham.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

ALTER TABLE invoices ENABLE ROW LEVEL SECURITY;
ALTER TABLE invoices FORCE ROW LEVEL SECURITY;
 
CREATE POLICY invoices_tenant_select ON invoices
  FOR SELECT
  USING (tenant_id = current_setting('app.tenant_id', true)::uuid);
 
CREATE POLICY invoices_tenant_insert ON invoices
  FOR INSERT
  WITH CHECK (tenant_id = current_setting('app.tenant_id', true)::uuid);
 
CREATE POLICY invoices_tenant_update ON invoices
  FOR UPDATE
  USING (tenant_id = current_setting('app.tenant_id', true)::uuid)
  WITH CHECK (tenant_id = current_setting('app.tenant_id', true)::uuid);

Quando usar isso:

• SaaS multi-tenant com esquema compartilhado e expectativas de conformidade (prontidão para SOC2, HIPAA).
• Múltiplos serviços consultam as mesmas tabelas com caminhos de código diferentes.
• Você precisa de defesa em profundidade além do escopo do ORM.

Exemplo de Funcionamento

BEGIN;
 
CREATE TABLE tenants (
  tenant_id  uuid PRIMARY KEY,
  tier       text NOT NULL CHECK (tier IN ('starter', 'business', 'enterprise'))
);
 
CREATE TABLE files (
  tenant_id  uuid NOT NULL REFERENCES tenants (tenant_id),
  file_id    bigint GENERATED ALWAYS AS IDENTITY,
  name       text NOT NULL,
  PRIMARY KEY (tenant_id, file_id)
);
 
ALTER TABLE files ENABLE ROW LEVEL SECURITY;
ALTER TABLE files FORCE ROW LEVEL SECURITY;
 
-- Política padrão de isolamento de tenant
CREATE POLICY files_tenant_isolation ON files
  USING (tenant_id = current_setting('app.tenant_id', true)::uuid)
  WITH CHECK (tenant_id = current_setting('app.tenant_id', true)::uuid);
 
-- Suporte da plataforma com bypass somente leitura para tickets do tier enterprise
CREATE ROLE support_reader;
CREATE POLICY files_support_read ON files
  FOR SELECT
  TO support_reader
  USING (
    EXISTS (
      SELECT 1 FROM tenants t
      WHERE t.tenant_id = files.tenant_id
        AND t.tier = 'enterprise'
    )
  );
 
GRANT SELECT ON files TO support_reader;
GRANT support_reader TO support_agent;
 
COMMIT;

O que isso demonstra:

• FORCE ROW LEVEL SECURITY aplica políticas até mesmo aos proprietários da tabela.
• Políticas separadas por comando (SELECT, INSERT, UPDATE) quando necessário.
• Acesso de suporte específico do tier via política direcionada a role.

Mergulho Profundo

Como Funciona

• RLS anexa expressões de política a cada plano de consulta como qualificadores de filtro.
• current_setting('app.tenant_id', true) retorna NULL se não estiver definido - a política deve falhar fechada (nenhuma linha).
• O atributo BYPASSRLS em superusuário/proprietário ignora políticas, a menos que FORCE esteja definido.
• As políticas são por tabela - cada tabela de tenant precisa de cobertura; lacunas são vulnerabilidades.

Modelos de Política por Tier

Notas SQL

-- Verifica se RLS está habilitado em todas as tabelas de tenant
SELECT c.relname, c.relrowsecurity, c.relforcerowsecurity
FROM pg_class c
JOIN pg_namespace n ON n.oid = c.relnamespace
WHERE n.nspname = 'public' AND c.relkind = 'r'
  AND c.relname NOT LIKE 'pg_%';

Armadilhas

• RLS sem FORCE - o proprietário da tabela ignora as políticas nas migrações. Correção: FORCE ROW LEVEL SECURITY em tabelas de dados de tenant.
• Política ausente em nova tabela - lança recurso com vazamento. Correção: checklist de migração + consulta CI contra pg_policies.
• GUC desatualizado em conexão agrupada - tenant errado após reutilização. Correção: SET app.tenant_id a cada requisição; PgBouncer DISCARD ALL.
• Ferramentas de BI de superusuário - Metabase conecta como proprietário, vê todos os tenants. Correção: role dedicado somente leitura sem bypass.
• Desempenho da política - subconsulta complexa por linha. Correção: compare tenant_id com GUC diretamente; indexe tenant_id.

Alternativas

FAQs

Relacionado

• Esquema Compartilhado + tenant_id - design de coluna e índice
• Roles & Permissões RLS - mecânicas gerais de RLS
• Melhores Práticas Multi-Tenant - casos negativos de CI
• Esquema por Tenant - quando RLS não é suficiente

Versões da Stack: Esta página foi escrita para PostgreSQL 18.4 (estável 18, manutenção 17), pgvector 0.8+, PgBouncer 1.x, Patroni 3.x e PostGIS 3.5+.