Le cloisonnement

Un tenant est la muraille étanche de la plateforme : aucune donnée, aucun événement, aucune requête ne la traverse. Chaque teneur de compte est un tenant ; le tenant des entreprises directes en est un aussi, qui regroupe les entreprises clientes de Concerto dont le teneur de compte n’adhère pas à la plateforme.

Une propriété du déploiement, pas un contrôle

La distinction change la nature de la garantie. La muraille n’est pas un filtre appliqué à chaque requête, qu’un défaut de code pourrait laisser passer : c’est une conséquence de la manière dont la plateforme est installée.

Un composant ne connaît qu’une base, qu’un compte de bus, qu’un jeu d’identifiants, reçus au démarrage par sa configuration. Il n’existe aucun mécanisme qui résoudrait à l’exécution le TCC d’une requête, donc aucun mécanisme à tromper. Un identifiant de tenant ne peut pas naître d’une requête entrante : tout en-tête de tenant venu de l’extérieur est supprimé au point d’entrée.

Trois couches se renforcent :

Couche	Ce qu’elle interdit
Séparation des déploiements	qu’un processus atteigne les données d’un autre TCC
Droits de base de données par tenant	qu’un composant lise une base voisine — les bases d’une instance partagent adresse et port, le filtrage réseau seul ne suffirait pas
Règles réseau de l’orchestrateur	toute communication non prévue, dont celles vers les autres tenants

Les périmètres métier ne sont pas des tenants

Sous un tenant vivent des périmètres qui organisent le travail sans être des murailles : distributeurs, entreprises, établissements, dispositifs, populations, campagnes. Ils déterminent qui peut agir sur quoi — c’est le sujet d’ Identité et autorisation — et non où vivent les données.

Une séparation est contre-intuitive, et elle a des conséquences directes sur les droits :

Le salarié est rattaché à une entreprise ; l’épargnant existe à l’échelle du tenant. Leur lien est une correspondance fonctionnelle, jamais une règle d’héritage de droits.

Une habilitation sur une entreprise n’ouvre donc jamais le patrimoine des épargnants correspondants. Le droit personnel de l’épargnant suit sa propre chaîne : identité, comptes détenus, avoirs.