多租户架构
Vibe Coding 平台通常需要为每个用户提供独立的环境。本文介绍 CloudBase 的多租户隔离方案。
租户隔离模型
CloudBase 采用「一租户一环境」模式，每个用户对应一个独立的 CloudBase 环境，计算/数据/存储/网络天然隔离：
关键设计点：
| 维度 | 设计方案 |
|---|---|
| Agent 与 Sandbox 分离 | Agent 运行在生产环境中（持有凭证），通过 RPC 远程调用 Sandbox（无凭证），两者隔离避免安全风险 |
| 多租户隔离 | 「一租户一环境」模式，每个用户对应一个独立的 CloudBase 环境，计算/数据/存储/网络天然隔离 |
| 弹性伸缩 | Agent 服务层无状态化，可水平扩展；Sandbox 按需创建/销毁；CloudBase 环境按量计费 |
| 冷启动优化 | Sandbox Snapshot 预热 + 模板环境克隆，减少首次使用等待时间 |
| 成本优化 | 空闲 Sandbox 实例自动回收 + 按需恢复；环境级资源配额控制 |
权限隔离方案
CloudBase 为每个用户环境签发 API Key，API Key 由云开发平台绑定到指定的环境 ID，在服务端强制校验，即使泄露也只能访问该用户自己的环境，实现环境级隔离（详见 获取环境 API Key）：
| 维度 | 方案：环境级 API Key |
|---|---|
| 核心思路 | 平台为每个用户创建独立环境并签发 API Key |
| 用户账号 | 平台自有账号（可对接 SSO/LDAP），用户无感知腾讯云 |
| 品牌感知 | 完全白标，用户只接触平台产品 |
| 人工管理 | 通过 API/日志审查 |
| SSO 集成 | ✅ 支持平台自有账号体系 |
| 适合场景 | AI Coding / Vibe Coding 平台、toC 产品、多租户 SaaS |
凭证安全：
| 持有方 | 凭证 | 用途 |
|---|---|---|
| Agent 运行环境 | LLM API Key | 调用大模型 |
| CloudBase SecretId/SecretKey | 调用管理面 API + Sandbox RPC 认证 | |
| Sandbox 沙盒 | 环境级临时密钥（仅用于 MCP） | 仅能操作当前用户自己的 CloudBase 环境 |