> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/learn-the-platform/de/modul-7-multi-tenancy/01-vdc-concepts.md). # Konzepte virtueller Rechenzentren ## Was ist ein Tenant? Ein **Tenant** in VergeOS ist ein vollständiges **Virtuelles Rechenzentrum (VDC)** — eine vollständig abgeschottete Umgebung, die alle Funktionen eines Basis-VergeOS-Systems umfasst, mit Ausnahme der Verwaltung physischer Hardware. Jeder Tenant ist im Wesentlichen ein „Rechenzentrum innerhalb eines Rechenzentrums“ und bietet eine isolierte Umgebung für verschiedene Benutzer, Organisationen oder Workloads. Jeder Tenant arbeitet unabhängig mit eigenen: * **Verwaltungsoberfläche** über eine eindeutige URL erreichbar * **Rechenressourcen** (CPU-Kerne und RAM) * **Speicherzuweisung** aus dem übergeordneten vSAN * **Netzwerk-Stack** mit vollständiger L2/L3-Isolierung * **Benutzerverwaltung** mit lokalen Konten oder föderierter Identität * **Backup und DR** mit individuellen Snapshot-Zeitplänen Im Gegensatz zu herkömmlichen Multi-Tenancy-Ansätzen, die auf logischer Trennung (VLANs, Ressourcenpools oder RBAC-Grenzen) beruhen, bieten VergeOS-Tenants **echte architektonische Isolierung** — jeder Tenant ist eine vollständig gekapselte Umgebung mit eigenem Networking, eigenen Speicher-Volumes und einer eigenen administrativen Grenze. ```mermaid graph TB subgraph physical["Physisches VergeOS-System (Host)"] direction TB HW["Standard-Hardware
(Knoten + vSAN)"] VOS["VergeOS-Betriebssystem"] HW --> VOS subgraph tenants["Tenant-Ebene"] direction LR T1["Tenant A
VDC
──────
Eigene UI + URL
Rechenleistung │ Speicher
Netzwerk │ Benutzer"] T2["Tenant B
VDC
──────
Eigene UI + URL
Rechenleistung │ Speicher
Netzwerk │ Benutzer"] T3["Tenant C
VDC
──────
Eigene UI + URL
Rechenleistung │ Speicher
Netzwerk │ Benutzer"] end VOS --> tenants end style physical fill:#e8f5e9,stroke:#2e7d32 style tenants fill:#e3f2fd,stroke:#1565c0 ``` {% hint style="info" %} **VMware Bridge** Kommt man von VMware? In VergeOS ist jeder Tenant ein vollständig isoliertes VDC, das in das Betriebssystem integriert ist — mit eigener Verwaltungsoberfläche, eigenem Netzwerk-Stack, eigener Speicherzuweisung und eigener Benutzerdatenbank, ohne Zusatzlizenzen oder separate Verwaltungsebenen, die zusammengefügt werden müssten. {% endhint %} {% hint style="info" %} **Nutanix Bridge** Kommt man von Nutanix? Anstatt sich auf Overlay-Konstrukte innerhalb einer gemeinsamen Verwaltungsebene zu verlassen, gibt VergeOS jedem Tenant seinen eigenen Netzwerk-Stack, seine eigene Speicherzuweisung und seine eigene Verwaltungsoberfläche — ein vollständig gekapseltes VDC. {% endhint %} ## Architektonische vs. logische Isolierung Der grundlegende Unterschied zwischen VergeOS-Mandantenfähigkeit und konkurrierenden Ansätzen ist das bereitgestellte Isolationsniveau. Die meisten Plattformen bieten **logische Isolierung** — RBAC-Richtlinien, Netzwerkrichtlinien und Ressourcenkontingente, die Tenants innerhalb einer gemeinsamen Verwaltungsebene voneinander trennen. VergeOS bietet **architektonische Isolierung** über zwei zentrale Mechanismen: ### Netzwerk-Kapselung Jeder Tenant erhält eine vollständige **Layer-2/Layer-3-Netzwerkverkapselung**. Wenn ein neuer Tenant erstellt wird, stellt VergeOS automatisch bereit: * Ein **DMZ-Netzwerk** das als Verbindungspunkt für alle Netzwerke des Tenants dient * Ein **Kernnetzwerk** für die interne Verwaltungskommunikation * Die Möglichkeit, mehrere **interne Netzwerke** mit eigenen Subnetzen, DHCP, DNS, Firewall-Regeln und Routing zu erstellen Der Netzwerkverkehr des Tenants ist vollständig gekapselt und von anderen Tenants sowie vom Host-System isoliert. Das ist grundlegend anders als VLAN-basierte Segmentierung, bei der Fehlkonfigurationen Verkehr zwischen Tenants offenlegen können. ### Exklusive Speicher-Volumes Jeder Tenant erhält **dedizierte Speicher-Volumes** aus dem übergeordneten vSAN zugewiesen. Die Speicherisolierung stellt sicher, dass: * Tenant-Daten auf Volume-Ebene vollständig getrennt sind * Grenzen der Speicherleistung Noisy-Neighbor-Effekte verhindern * Die Ressourcenverfolgung pro Tenant — einschließlich Deduplizierungsstatistiken innerhalb des Tenants — unterstützt Kapazitätsplanung und Abrechnung auf Tenant-Ebene. Deduplizierungsvorteile über mehrere Tenants hinweg werden einzelnen Tenants nicht zugeordnet. Zusammen bieten Netzwerk-Kapselung und exklusive Speicher-Volumes **echte Isolierung** — nicht nur richtlinienbasierte Trennung, sondern architektonische Grenzen, die tenantübergreifenden Zugriff von vornherein verhindern. {% hint style="info" %} **Verschlüsselung ist eine Einstellung auf Provider-Ebene, nicht pro Tenant.** vSAN-Verschlüsselung im Ruhezustand (AES-256) wird bei der Erstinstallation des Host-Systems einmalig ausgewählt und gilt für das gesamte vSAN — und damit für alle darauf befindlichen Tenant-Daten. Sie kann nach der Bereitstellung nicht pro Tenant aktiviert, deaktiviert oder eingeschränkt werden, und eine Änderung erfordert eine Neuinstallation des Systems. {% endhint %} ## Tenant-Hierarchie VergeOS unterstützt ein **hierarchisches Tenant-Modell** mit zwei zentralen Ebenen: ### Provider-/Host-Ebene Das **Host-System** (auch Provider oder Parent genannt) ist die physische VergeOS-Installation, die die Hardware besitzt. Der Administrator des Host-Systems hat volle Kontrolle über: * Verwaltung physischer Hardware (Knoten, Laufwerke, NICs) * Ressourcenzuweisung an Tenants (CPU, RAM, Speicherstufen) * Erstellung, Klonung und Lebenszyklusverwaltung von Tenants * Systemweite Snapshots, die alle Tenants einschließen * Überwachung und Kontrolle aller Tenant-Umgebungen ### Tenant-Ebene Jeder **Tenant** fungiert als unabhängiges VDC. Tenant-Administratoren können alles innerhalb ihrer zugewiesenen Ressourcen verwalten: * Virtuelle Maschinen, Netzwerke und Speicher innerhalb ihrer Zuweisung * Benutzer und Berechtigungen (lokale Konten oder föderierte Identität) * Snapshots und DR innerhalb ihrer eigenen Umgebung * Individuelles Branding und Themes (sofern vom Parent erlaubt) ### Verschachtelte Multi-Tenancy (Sub-Tenants) VergeOS unterstützt **verschachtelte Multi-Tenancy**: Jeder Tenant kann **Sub-Tenants** aus seinen eigenen zugewiesenen Ressourcen erstellen und so eine Hierarchie aufbauen, die komplexe organisatorische und servicebezogene Anforderungen unterstützt. ```mermaid graph TB HOST["VergeOS-Host-System
(Physische Hardware)"] HOST --> TA["Tenant A
(Dienstanbieter)"] HOST --> TB["Tenant B
(Unternehmen)"] HOST --> TC["Tenant C
(Bildung)"] TA --> TA1["Sub-Tenant A1
(Kunde 1)"] TA --> TA2["Sub-Tenant A2
(Kunde 2)"] TA1 --> TA1a["Sub-Sub-Tenant
(Kunde 1 - Dev)"] TA1 --> TA1b["Sub-Sub-Tenant
(Kunde 1 - Prod)"] TB --> TB1["Sub-Tenant B1
(Entwicklung)"] TB --> TB2["Sub-Tenant B2
(Finanzen)"] TC --> TC1["Sub-Tenant C1
(Fakultät A)"] TC --> TC2["Sub-Tenant C2
(Fakultät B)"] style HOST fill:#e8f5e9,stroke:#2e7d32 style TA fill:#e3f2fd,stroke:#1565c0 style TB fill:#e3f2fd,stroke:#1565c0 style TC fill:#e3f2fd,stroke:#1565c0 style TA1 fill:#fff3e0,stroke:#e65100 style TA2 fill:#fff3e0,stroke:#e65100 style TB1 fill:#fff3e0,stroke:#e65100 style TB2 fill:#fff3e0,stroke:#e65100 style TC1 fill:#fff3e0,stroke:#e65100 style TC2 fill:#fff3e0,stroke:#e65100 style TA1a fill:#fce4ec,stroke:#c62828 style TA1b fill:#fce4ec,stroke:#c62828 ``` Zum Beispiel kann ein Dienstanbieter (Tenant A) Kunden-Tenants (Sub-Tenants A1, A2) erstellen, und diese Kunden können ihre Umgebungen weiter in Dev-/Prod-Sub-Tenants unterteilen. Jede Ebene behält vollständige Isolierung und unabhängige Verwaltung bei. ## Hauptfunktionen pro Tenant Jeder Tenant in VergeOS erhält denselben Funktionsumfang — jedes VDC ist eine voll funktionsfähige Umgebung: ### Verwaltungsoberfläche & URL Jeder Tenant hat seine eigene webbasierte Verwaltungsoberfläche, die über eine eindeutige URL erreichbar ist. Tenant-Administratoren können alle Ressourcen, VMs, Netzwerke und Einstellungen über diese dedizierte Oberfläche verwalten — keine gemeinsame Verwaltungsebene. ### Benutzerverwaltung Tenants unterstützen flexible Identitätsverwaltung: lokale Benutzerkonten, Authentifizierung über das Parent-System, Identitätsanbieter von Drittanbietern (OAuth2/OIDC wie Okta, Azure AD/Entra, Google) oder eine Kombination davon. MSPs können die Anmeldung über alle Tenant-Umgebungen hinweg zentralisieren. ### Ressourcenverfolgung & Abrechnung Die Ressourcenverfolgung pro Tenant umfasst CPU, RAM, Speicherverbrauch und Deduplizierungsstatistiken. Nutzungsberichte erleichtern Abrechnung, Auditierung und Kapazitätsplanung — entscheidend für Dienstanbieter, die pro Tenant abrechnen. ### Backup & Disaster Recovery DR-Protokolle können pro Tenant angepasst werden. Jeder Tenant kann seine eigenen Snapshot- und Aufbewahrungszeitpläne steuern, während die Snapshots des Host-Systems ebenfalls alle Tenants für eine systemweite Wiederherstellung erfassen. ### Portabilität Jeder Tenant ist ein portables, in sich geschlossenes System. Ein komplettes VDC — einschließlich aller VMs, Netzwerke, Speicher und Konfiguration — kann als Snapshot gesichert, per Site-Sync repliziert oder als eine Einheit auf eine andere VergeOS-Installation verschoben werden. ### Individuelles Branding & Themes Parentsysteme können Tenants erlauben, ihre UI mit individuellen Firmenlogos, Farbschemata und Schriftarten über VergeOS Themes zu branden. Das ist besonders wertvoll für MSPs, die White-Label-Services anbieten möchten. | Funktion | Beschreibung | | --------------------------------- | -------------------------------------------------------------------- | | **Verwaltungsoberfläche** | Dedizierte Weboberfläche pro Tenant mit eindeutiger URL | | **Benutzerverwaltung** | Lokal, vom Parent delegiert oder externer IdP (OIDC/OAuth2) | | **Ressourcenverfolgung** | CPU, RAM, Speicher und Deduplizierungsstatistiken pro Tenant | | **Backup/DR** | Individuelle Snapshot-Zeitpläne und Aufbewahrungsrichtlinien | | **Portabilität** | Das gesamte VDC kann gesnapshottet, repliziert oder verlagert werden | | **Individuelles Branding** | Themes mit Logos, Farben und Schriftarten (vom Parent gesteuert) | | **Automatisierte Bereitstellung** | Tenant-Rezepte für eine schnelle, standardisierte Bereitstellung | | **Netzwerk** | Vollständiger SDN-Stack mit Firewall, NAT, DHCP und DNS pro Tenant | ## Anwendungsfälle Die Multi-Tenancy von VergeOS deckt eine breite Palette von Bereitstellungsszenarien ab: ### Dienstanbieter / MSP Cloud Service Provider (CSPs) und Managed Service Provider (MSPs) nutzen die Mandantenfähigkeit von VergeOS, um **Multi-Tenant-IaaS** mit: * **Kundenisolierung** — jeder Kunde erhält ein vollständig isoliertes VDC mit eigener UI, eigenen Benutzern und eigenen Ressourcen * **Abrechnung pro Tenant** — Ressourcenverfolgung und Nutzungsberichte ermöglichen eine genaue Abrechnung pro Kunde * **Self-Service-Portale** — Kunden verwalten ihre eigenen VMs, Netzwerke und Speicher über ihre dedizierte UI * **Skalierbarkeit** — mit 2-Knoten-Edge-Clustern beginnen und mit wachsender Nachfrage skalieren, Knoten und Cluster ohne Unterbrechung hinzufügen * **Verschachtelte Mandantenfähigkeit** — Kunden können ihre eigenen Sub-Tenants für Abteilungs- oder Projektebene-Isolierung erstellen * **Tenant-Rezepte** — standardisierte VDC-Bereitstellung für schnelles Kunden-Onboarding automatisieren ### Unternehmen Unternehmen nutzen Tenants, um die Infrastruktur zu segmentieren und gleichzeitig eine zentrale Verwaltung beizubehalten: * **Segmentierung nach Abteilung/Team** — Entwicklung, Finanzen und HR erhalten jeweils isolierte Umgebungen * **Isolierung von Dev/Test/Prod** — getrennte Umgebungen verhindern unbeabsichtigte Vermischung * **Regulatorische Compliance** — Tenant-Isolierung hilft, Anforderungen an Datenresidenz und Zugriffskontrolle zu erfüllen * **Ressourcen-Governance** — Ressourcen pro Geschäftseinheit zuweisen und nachverfolgen ### Bildung Bildungseinrichtungen profitieren von Tenant-Isolierung für: * **Lehrstuhl-/Forschungsumgebungen** — jeder Fachbereich oder jede Forschungsgruppe erhält ein dediziertes VDC * **Studentische Laborumgebungen** — isolierte, reproduzierbare Laborumgebungen, die schnell bereitgestellt und wieder entfernt werden können * **Beseitigung von Infrastruktursilos** — eigenständige Laborsysteme durch zentral verwaltete Tenants ersetzen ### Notfallwiederherstellung & Portabilität VergeOS-Tenants sind von Natur aus portabel und ermöglichen DR-Muster wie: * **Replikation des gesamten VDC** — einen kompletten Tenant (VMs, Netzwerke, Speicher, Konfiguration) als Snapshot sichern und an einen entfernten Standort replizieren * **Tenant-Migration** — einen Tenant als eine Einheit zwischen VergeOS-Installationen verschieben * **Schnelle Wiederherstellung** — einen Tenant aus einem System-Snapshot wiederherstellen, um nach Katastrophen oder versehentlichen Änderungen zu recovern * **Standort-Synchronisierung** — kontinuierliche Replikation von Tenant-Umgebungen zwischen geografisch verteilten Standorten ## Wie sich Tenants von traditionellen VMs unterscheiden Es ist wichtig zu verstehen, dass ein VergeOS-Tenant **nicht** einfach nur eine virtuelle Maschine ist. Während VMs eine Isolierung der Rechenleistung bieten, stellt ein Tenant eine vollständige **Grenze der Infrastruktur-Isolierung**: | Aspekt | Virtuelle Maschine | VergeOS-Tenant (VDC) | | ------------------- | -------------------------------------- | --------------------------------------------- | | **Umfang** | Einzelne Workload | Komplettes Rechenzentrum | | **Netzwerk** | NIC(s) in gemeinsam genutztem Netzwerk | Vollständiger SDN-Stack (DMZ, intern, extern) | | **Speicher** | Virtuelle Festplatte(n) | Dedizierte Speicher-Volumes aus vSAN | | **Verwaltung** | Verwaltet vom Host-Administrator | Unabhängige Admin-Oberfläche + Benutzer | | **Verschachtelung** | N/A | Kann Sub-Tenants erstellen | | **Portabilität** | Migration einer einzelnen VM | Gesamte Umgebung als eine Einheit | | **Identität** | Nur Authentifizierung auf Host-Ebene | Unabhängiger IdP / OIDC | ## Zusammenfassung Die Multi-Tenancy von VergeOS ist in die Plattform eingebaut — kein Zusatzprodukt und kein Konfigurations-Overlay. Jeder Tenant ist ein vollständiges Virtual Data Center mit architektonischer Isolierung (Netzwerk-Kapselung + exklusive Speicher-Volumes), einer dedizierten Verwaltungsoberfläche, unabhängiger Benutzerverwaltung und voller Portabilität. Das hierarchische Tenant-Modell unterstützt unbegrenzte Verschachtelung und ermöglicht es Dienstanbietern, Unternehmen und Bildungseinrichtungen, Multi-Tenant-Umgebungen mit echter Isolierung auf jeder Ebene aufzubauen. Im nächsten Abschnitt werden wir die praktischen Schritte zum Erstellen und Konfigurieren von Tenants über die VergeOS-UI durchgehen. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.verge.io/learn-the-platform/de/modul-7-multi-tenancy/01-vdc-concepts.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.