-- 1) 앱 레벨: 인증 후 테넌트 컨텍스트 주입
SET LOCAL app.tenant_id = :tenant_uuid;

-- 2) 테이블: 테넌트 컬럼 + RLS 활성화
ALTER TABLE invoices ENABLE ROW LEVEL SECURITY;
CREATE POLICY tenant_iso ON invoices
  USING (tenant_id = current_setting('app.tenant_id')::uuid);

-- 3) 인덱스: (tenant_id, business_key)
CREATE INDEX ON invoices (tenant_id, created_at);

// 테넌트 정책(ABAC 예시)
{
  "version": "2025-01",
  "effect": "allow",
  "action": ["project:read", "invoice:write"],
  "resource": ["tenant/${tenant_id}/*"],
  "condition": {"ip": "203.0.113.0/24", "mfa": true}
}

조직(Org)→테넌트→프로젝트 계층에 사용자/서비스 계정을 배치하고, RBAC(역할) + ABAC(속성)을 혼합합니다. SSO(OIDC/SAML)로 외부 IdP 연동.

# JWT의 tenant 클레임을 헤더로 전달(예시)
if ($jwt_tenant) {
  proxy_set_header X-Tenant-ID $jwt_tenant;
}
proxy_pass http://backend;

인증 토큰의 테넌트 컨텍스트를 다운스트림으로 전달하고, 백엔드는 모든 쿼리에 tenant_id를 강제합니다.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-tenant-a
spec:
  podSelector:
    matchLabels: { tenant: "a" }
  policyTypes: [Ingress, Egress]
  ingress:
  - from: [{ podSelector: { matchLabels: { tenant: "a" }}}]
  egress:
  - to:   [{ podSelector: { matchLabels: { tenant: "a" }}}]

{"ts":"2025-08-31T12:00:01Z","tenant":"acme","actor":"u:kim","action":"role.assign",
 "res":"tenant/acme/project/alpha","ip":"198.51.100.23","result":"ALLOW"}