> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/learn-the-platform/de/modul-7-multi-tenancy/05-isolation-security.md). # Mandantenisolation & Sicherheit ## Das VergeOS-Isolationsmodell VergeOS-Multi-Tenancy basiert auf **architektonische Isolierung** — nicht nur auf richtlinienbasierter Trennung. Jeder Mandant ist ein vollständig gekapseltes Virtual Data Center (VDC) mit eigenem Netzwerk-Stack, exklusiven Speicher-Volumes und einer unabhängigen administrativen Grenze. Dies steht im Gegensatz zu Plattformen, die auf VLANs, Ressourcenpools oder RBAC-Regeln setzen, um Mandanten innerhalb einer gemeinsamen Verwaltungsebene zu trennen. Das Isolationsmodell ruht auf vier Säulen: ```mermaid graph TB subgraph isolation["VergeOS-Mandantenisolationsmodell"] direction LR NET["Netzwerk
Kapselung
──────
L2/L3-Isolierung
pro Mandant"] STOR["Speicher
Isolierung
──────
Exklusive Volumes
pro Mandant"] AUTH["Unabhängige
Benutzerverwaltung
──────
Lokal, Parent-
oder IdP/OIDC"] RES["Ressourcen-
Garantien
──────
CPU/RAM/Speicher-
Kontingente durchgesetzt"] end style isolation fill:#e8f5e9,stroke:#2e7d32 style NET fill:#e3f2fd,stroke:#1565c0 style STOR fill:#e3f2fd,stroke:#1565c0 style AUTH fill:#e3f2fd,stroke:#1565c0 style RES fill:#e3f2fd,stroke:#1565c0 ``` *** ## Netzwerk-Kapselung Netzwerk-Kapselung ist die Grundlage der Mandantenisolierung. Wenn ein Mandant erstellt wird, stellt VergeOS automatisch ein virtuelles Netzwerk bereit, das **den gesamten Datenverkehr dieses Mandanten aggregiert und kapselt**. Aus Sicht des Mandanten ist dies sein physisches Netzwerk — er kann den Datenverkehr anderer Mandanten weder sehen noch mit ihm interagieren. ### Funktionsweise * Jeder Mandant erhält sein eigenes **DMZ-Netzwerk** das als Routing-Backbone für alle Netzwerke innerhalb des Mandanten dient * Der Mandantenverkehr wird auf **Layer 2 und Layer 3** gekapselt, wodurch die Kommunikation zwischen Mandanten auf Netzwerkebene verhindert wird * Das gekapselte Netzwerk ermöglicht es Mandantenknoten, sicher zu kommunizieren, selbst wenn sie auf unterschiedlichen physischen Hosts laufen * Mandanten können in ihrer eigenen Umgebung praktisch unbegrenzt viele interne Netzwerke erstellen ### Warum das wichtig ist Im Gegensatz zur VLAN-basierten Segmentierung — bei der ein falsch konfiguriertes VLAN-Tag oder ein kompromittierter Switch Datenverkehr zwischen Mandanten offenlegen könnte — bietet die VergeOS-Netzwerk-Kapselung **Zero-Trust-Netzwerkisolierung** standardmäßig. Ein Mandant kann das Netzwerk eines anderen Mandanten nicht erreichen, selbst wenn sie dieselbe physische Infrastruktur teilen. ```mermaid graph TB subgraph host["Physisches VergeOS-System"] EXT["Externes Netzwerk
(Upstream-LAN/WAN)"] DMZ["Host-DMZ"] subgraph t1["Mandant A (gekapselt)"] T1_DMZ["Mandant A DMZ"] T1_INT1["Internes Netz 1"] T1_INT2["Internes Netz 2"] T1_INT1 --> T1_DMZ T1_INT2 --> T1_DMZ end subgraph t2["Mandant B (gekapselt)"] T2_DMZ["Mandant B DMZ"] T2_INT1["Internes Netz 1"] T2_INT2["Internes Netz 2"] T2_INT1 --> T2_DMZ T2_INT2 --> T2_DMZ end T1_DMZ --> DMZ T2_DMZ --> DMZ DMZ --> EXT end style t1 fill:#e3f2fd,stroke:#1565c0 style t2 fill:#fff3e0,stroke:#e65100 style host fill:#e8f5e9,stroke:#2e7d32 ``` *** ## Dedizierte Speicher-Volumes Jeder Tenant erhält **dedizierte Speicher-Volumes** innerhalb des vSAN, dem Mandanten präsentiert, als hätte er sein eigenes Speichersystem. Die Isolierung wird logisch durch Container-Dateisystem-Grenzen durchgesetzt — ein Mandant kann die Daten eines anderen Mandanten weder sehen noch darauf zugreifen — während das zugrunde liegende vSAN zur Effizienz Blöcke im gesamten Cluster dedupliziert. Wesentliche Merkmale: * **Mandantenbezogene Bereitstellung** — Speicher wird pro Ebene (NVMe, SSD, HDD) mit spezifischen Kapazitätszuweisungen bereitgestellt * **Unabhängige Deduplizierung** — Die Deduplizierungsstatistiken jedes Mandanten spiegeln nur seine eigenen Daten wider. Die Deduplizierung arbeitet auf vSAN-Blockebene über das gesamte System hinweg; für Mandanten sichtbare Kennzahlen zeigen nur die Einsparungen des jeweiligen Mandanten * **Thin Provisioning** — Der Mandantenspeicher wird per Thin Provisioning bereitgestellt. Ein 4-TB-VM-Laufwerk, das nur 200 GB Daten enthält, verbraucht etwa 200 GB vSAN-Kapazität (abzüglich Deduplizierungseinsparungen) * **Verschlüsselungsunterstützung** — vSAN-Verschlüsselung (AES-256, bei der Installation konfiguriert) gilt für alle Daten einschließlich der Mandanten-Volumes *** ## Unabhängige Benutzerverwaltung Jeder Mandant verwaltet seine Benutzerkonten und Authentifizierung unabhängig. Es stehen drei Authentifizierungsmodelle zur Verfügung: | Modell | Beschreibung | Anwendungsfall | | -------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------ | | **Lokale Benutzer** | Der Mandantenadministrator erstellt und verwaltet Benutzerkonten direkt in der Mandanten-UI | Kleine Mandanten, eigenständige Umgebungen | | **Parent VergeOS (via OIDC)** | Der Mandant authentifiziert sich über eine OIDC-Anwendung, die auf dem Parent-VergeOS-System definiert ist, sodass die Anmeldungen des Mandanten durch das Benutzerverzeichnis des Parents unterstützt werden | Managed Service Provider, die den Mandantenzugriff zentral steuern | | **Drittanbieter-IdP (via OIDC)** | Der Mandant integriert sich via OIDC mit einem externen Identitätsanbieter (Okta, Azure AD/Entra, Google Cloud Identity usw.) | Unternehmensmandanten mit vorhandener Identitätsinfrastruktur | Die OIDC-Integration wird pro Mandant bei der Erstellung oder Änderung konfiguriert. Wenn eine OIDC-Anwendung ausgewählt wird, verwendet der Mandant den externen Identitätsanbieter für die Authentifizierung und behält gleichzeitig die lokale Autorisierung (Berechtigungen und Rollen) bei. *** ## Layer-2-Durchleitung zu Mandanten In manchen Szenarien benötigt ein Mandant direkten Layer-2-Zugriff auf ein physisches VLAN — zum Beispiel, um sich mit einer dedizierten WAN-Verbindung, einem physischen Speichernetzwerk oder Legacy-Anwendungen mit erforderlicher L2-Nachbarschaft zu verbinden. VergeOS bietet **Tenant Layer 2 Networks** (aktuelle VergeOS-Versionen) für eine vereinfachte VLAN-Durchleitung: ### Funktionsweise 1. Der Host-Administrator navigiert zu **Tenants → \[Tenant] → Layer2 Networks → Neu** 2. Wählt das externe Layer-2-Netzwerk (VLAN) zur Durchleitung aus 3. Aktiviert die Durchleitung VergeOS erstellt automatisch drei Komponenten innerhalb des Mandanten: * Ein **NIC-Schnittstelle** auf dem Mandantenknoten, der mit dem VLAN verbunden ist * Ein **Physisches Netzwerk** (Backend-Infrastruktur) * Ein **Externes Netzwerk** an das sich Mandanten-VMs anhängen können ### Verifizierungsliste | Ebene | Prüfen Sie | | ----------------- | ----------------------------------------------------------------------------------- | | **Host** | Layer-2-Netzwerk erscheint in der Layer2-Networks-Liste des Mandanten, Enabled = ON | | **Mandant** | Externe und physische Netzwerke erscheinen in der Networks-Liste des Mandanten | | **Infrastruktur** | Physische Switch-Ports tragen das VLAN zu den richtigen Knoten | | **Konnektivität** | Eine Test-VM im Externen Netzwerk des Mandanten kann Geräte im VLAN erreichen | ### Wichtige Einschränkungen {% hint style="warning" %} **Reservierte VLANs** VLANs **1, 100, 101 und 102** sind für den internen VergeOS-Verkehr reserviert und können nicht für die Layer-2-Durchleitung verwendet werden. {% endhint %} {% hint style="warning" %} **Das externe Netzwerk des Mandanten nicht taggen** Das im Mandanten erstellte Externe Netzwerk ist bereits für das richtige VLAN getaggt. Fügen Sie **nicht** dem mandantenseitigen Externen Netzwerk keinen VLAN-Tag hinzu — dies ist eine häufige Fehlkonfiguration, die die Konnektivität beeinträchtigt. {% endhint %} ### Entfernungsvorgang Das Entfernen eines Tenant Layer 2 Network erfordert eine bestimmte Reihenfolge: 1. **Deaktivieren** das Layer-2-Netzwerk auf der Host-Seite 2. **Löschen** das Layer-2-Netzwerk auf der Host-Seite (NIC wird automatisch entfernt) 3. Im Mandanten: löschen Sie zuerst das **Externe** Netzwerk, dann das **Physische** Netzwerk {% hint style="success" %} Löschen Sie innerhalb des Mandanten immer zuerst das Externe Netzwerk und dann das Physische Netzwerk. Das Externe Netzwerk verweist auf das Physische Netzwerk als seine Schnittstelle; eine umgekehrte Reihenfolge führt zu einem Fehler. {% endhint %} *** ## Mikrosegmentierung innerhalb von Mandanten Jeder Mandant kann seine eigene Mikrosegmentierungsstrategie mit denselben Netzwerkwerkzeugen umsetzen, die auf Host-Ebene verfügbar sind: * **Interne Netzwerke** — Jedes interne Netzwerk ist ein standardmäßig sicheres, isoliertes Segment. Es fließt kein Verkehr hinein oder hinaus, bis explizite Regeln hinzugefügt werden. * **Netzwerkregeln** — Granulare Firewall-Regeln (Accept, Drop, Reject), NAT/PAT und statische Routen pro Netzwerk * **Netzwerk-Aliasse** — IP-Adressen oder CIDR-Bereiche für eine vereinfachte Richtlinienverwaltung gruppieren * **Port-Spiegelung** — Den Verkehr eines Netzwerks zur Analyse auf eine VM-NIC spiegeln Dies ermöglicht **Zero-Trust-Prinzipien** innerhalb jedes Mandanten — Workloads sind standardmäßig isoliert und kommunizieren nur über ausdrücklich erlaubte Pfade. *** ## Ressourcen-Garantien Die Ressourcenzuweisung für Mandanten wird auf Plattformebene durchgesetzt: * **CPU und RAM** — Den Mandantenknoten zugewiesene Kerne und RAM sind dedizierte Zuweisungen; das Host-System berücksichtigt die Ressourcen der Mandantenknoten bei der Planung * **Speicher** — Der pro Ebene bereitgestellte Speicher definiert die Kapazität des Mandanten. Obwohl bereitgestellter Speicher keine harte Grenze ist, werden Protokollwarnungen ausgelöst, wenn sich ein Mandant seinem Schwellenwert nähert * **Netzwerkbandbreite** — Ratenbegrenzung kann pro Netzwerkregel zur Traffic-Steuerung angewendet werden *** ## Mandantenüberwachung vom Parent aus Das Host-(Parent-)System behält vollständige Sicht auf die Mandantenaktivitäten, ohne die Mandantenisolierung zu verletzen. ### Dashboard aller Mandanten Das Dashboard aller Mandanten bietet einen Überblick über alle Mandanten mit: * **Statusanzeigen** — Anzahl der eingeschalteten Mandanten und Mandantenknoten * **Top-Auslastungslisten** — CPU-, RAM-, Speicher- und Netzwerknutzung nach Mandant sortiert * **Schnelllinks** — Klicken Sie auf einen beliebigen Mandanten, um zu seinem individuellen Dashboard zu gelangen ### Individuelles Mandanten-Dashboard Das Dashboard jedes Mandanten zeigt: * **CPU-, RAM- und Speichernutzung** in Diagrammen mit 5-Minuten-Intervallen * **5-Sekunden-Heartbeat** Statistiken für die Echtzeitüberwachung * **Protokolleinträge** mit rot hervorgehobenen Fehlern * **Speichermetriken** — Verwendete, bereitgestellte und zugewiesene Werte ### Nutzungsberichte für die Abrechnung VergeOS speichert Nutzungsstatistiken pro Mandant zur Unterstützung von **Abrechnung nach dem 95. Perzentil**: 1. Navigieren Sie zum Mandanten-Dashboard → **Verlauf** 2. Wählen Sie einen Filterzeitraum (Monat, benutzerdefinierter Bereich) 3. Klicken Sie auf **Anwenden** um Diagramme zu erzeugen, die Durchschnitt, Maximum und 95. Perzentil zeigen 4. Für die Abrechnungsintegration als CSV exportieren Alternativ konfigurieren Sie ein **Abonnement** (System → Abonnements → Neu) mit: * Zieltyp: *Mandanten-Dashboard* * Typ: *Geplant* * Profil: *Mandanten-Nutzung* Dies liefert automatisierte Nutzungsberichte per E-Mail gemäß Ihrem konfigurierten Zeitplan. ### Snapshot-Freigabe Wenn die **System-Snapshots freigeben** Option für einen Mandanten aktiviert ist, kann der Mandant die auf dem Host verfügbaren Snapshots durchsuchen und seinen eigenen Mandantensnapshot anhand der Snapshot-Zeitstempel des Anbieters selbst herunterladen. Dadurch können Mandanten ihre eigenen Systeme wiederherstellen, ohne dass ein Eingreifen des Host-Administrators erforderlich ist. ### Audit und Alarmierung * **Abonnements** können E-Mail-Benachrichtigungen für Statusfehler, Warnungen oder Schwellenwertüberschreitungen von Mandanten auslösen * **Geplante Berichte** können tägliche/wöchentliche Dashboard-Zusammenfassungen an Administratoren liefern * Das **API** kann Mandantennutzungsdaten an externe Abrechnungs- oder Überwachungssysteme exportieren *** ## Mandanten-Snapshots und Wiederherstellungen Jeder Mandant kann unabhängig gesnapshottet und wiederhergestellt werden: * **Snapshots pro Mandant** — Der Host kann Snapshots einzelner Mandanten erstellen, ohne andere Mandanten zu beeinträchtigen * **Vom Mandanten gesteuerte Snapshots** — Mandanten können ihre eigenen Snapshot-Zeitpläne und Aufbewahrungsrichtlinien innerhalb ihres VDC verwalten * **Granulare Wiederherstellung** — Stellen Sie einen gesamten Mandanten, einzelne VMs oder bestimmte Daten aus jedem Snapshot-Zeitpunkt wieder her * **DR-Replikation** — Mandantensnapshots können per Site-Sync an entfernte Standorte repliziert werden, mit DR-Richtlinien pro Mandant *** ## Best Practices ### Standardmäßig Kapselung verwenden Verwenden Sie die integrierte Netzwerk-Kapselung von VergeOS für alle Mandanten. Konfigurieren Sie Layer-2-Durchleitung nur dann, wenn eine spezifische Anforderung für direkten VLAN-Zugriff besteht. ### VLAN-Zuweisungen dokumentieren Führen Sie eine klare Dokumentation darüber, welche VLANs an welche Mandanten durchgeleitet werden, einschließlich VLAN-IDs, Zwecken und Switch-Port-Konfigurationen. ### Netzwerk nach dem Prinzip der geringsten Rechte Beginnen Sie innerhalb jedes Mandanten mit standardmäßig sicheren internen Netzwerken und öffnen Sie den Zugriff nur über explizite Firewall-Regeln. Folgen Sie Zero-Trust-Prinzipien. ### Speicherschwellen überwachen Konfigurieren Sie Abonnements, um Warnungen auszulösen, wenn der Mandantenspeicher sich den bereitgestellten Limits nähert. Thin Provisioning bedeutet, dass der zugewiesene Wert den genutzten Wert weit übersteigen kann — überwachen Sie „used“, um den tatsächlichen Verbrauch nachzuverfolgen. ### OIDC für Unternehmensmandanten verwenden Für Unternehmensmandanten mit vorhandener Identitätsinfrastruktur konfigurieren Sie eine OIDC-Integration, anstatt lokale Benutzerkonten innerhalb jedes Mandanten zu verwalten. ### Reihenfolge bei der L2-Entfernung Beim Entfernen der Layer-2-Durchleitung immer zuerst auf dem Host deaktivieren und löschen, dann innerhalb des Mandanten zuerst das Externe und danach das Physische Netzwerk bereinigen. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.verge.io/learn-the-platform/de/modul-7-multi-tenancy/05-isolation-security.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.