多租户 AI agent 的数据安全：Amazon FSx for NetApp ONTAP 的访问边界与会话防护
内容提要
多租户AI agent直接读写企业文件时，可能被提示注入操纵而越权或破坏数据。本文介绍用Amazon FSx for NetApp ONTAP在agent之外建立数据边界：以export policy按网络身份划分租户与读写权限，用qtree和FlexClone限制会话影响范围，借助Kerberos建立可信身份，并通过FPolicy、自主勒索软件防护、NAS审计、快照与取证副本实现检测、告警、取证和恢复。
延伸解读
网络身份边界的适用条件与局限
export policy 按客户端 IP 或网段划分权限，但 AgentCore Runtime 的 ENI 地址由服务分配，agent 无法修改。若多个租户共用 Runtime 或来源子网，存储端无法仅凭网络身份区分它们。因此，export policy 更适合划分少数权限层级，例如将访问敏感卷的租户组部署在专用子网。同一子网内的租户仍需依赖应用身份或外部受信任数据访问层进一步隔离。
会话工作区选择：qtree 与 FlexClone 的权衡
qtree 创建轻量、支持树配额且不占用卷配额，适合高并发短会话；但同一 Runtime 内会话可能互相访问 qtree，需配合 Kerberos 或外部代理实现强制隔离。FlexClone 提供写时复制副本，适合需改写共享数据的会话，但每个副本占用一个卷且创建开销较高。部署时应按会话需求分配，并注意 FlexClone 创建时继承父卷策略的短暂窗口。
检测与恢复的互补性及注意事项
FPolicy 可拦截预定义的高风险操作，但无法识别正常文件名下的恶意改写；ARP 基于行为特征检测异常批量改写，可能漏报缓慢或近似正常业务的攻击。两者均不能将操作归因到具体会话。NAS 审计提供独立访问记录，快照和 FlexClone 用于取证与恢复。需注意 ARP 不适合高频创建删除的临时工作区，审计 ACE 不授予权限，恢复 qtree 时应避免整卷回滚影响其他会话。
Q&A
多租户 AI agent 直接读写企业文件时，为什么不能只依赖 agent 自身的工具收敛和人工审批来保证数据安全？
因为 agent 的行为由模型推理驱动，可能受到提示词注入、被篡改的输入以及模型不确定性的影响，部署方很难保证其始终按照预期执行。工具收敛、输入输出过滤和人工审批虽不可或缺，但这些措施位于 agent 所在的执行环境中，一旦 agent 被完全操纵，就可能被绕过或失效。因此，真正的数据边界仍应由 agent 执行环境之外的组件强制实施。
Amazon FSx for NetApp ONTAP 的 export policy 如何按网络身份划分租户和 agent 的访问权限？
export policy 按客户端地址或网段、NFS 版本和安全类型，决定客户端是否可以访问卷，以及授予只读还是读写权限。rorule 与 rwrule 可以按网络身份分别授予只读和读写权限，superuser none 启用 root squash。例如，可以为不同租户组的 Runtime 子网分别创建 export policy，只允许对应子网访问其卷；也可以为同一租户内的不同 agent 分别设置规则，实现卷级别的读写区分。但 export policy 只能区分到 Runtime 或来源子网，不能区分同一 Runtime 内的用户。
在 AUTH_SYS 部署中，qtree 和 FlexClone 分别如何限制单个会话的影响范围？
qtree 是卷内的逻辑分区，可以单独设置树配额、安全风格和 export policy。编排层可以为每个会话创建一个 qtree 并设置容量或文件数配额，避免单个会话耗尽整个卷，适合数量多、生命周期短且并发度高的会话。FlexClone 使用写时复制，新卷与父卷共享未修改的数据块，只有发生写入的部分才占用新空间，适合需要独立改写共享数据集的会话，其写入和删除只作用于 FlexClone，不影响源卷。两者限制的是越权或误操作造成的后果，而不是阻止越权本身。
使用 Kerberos 为 NFS 访问建立可信用户身份需要完成哪些配置？
通常需要：为 SVM 配置 Active Directory 或外部 Kerberos 域，并在数据 LIF 上启用 NFS Kerberos；为用户分配 principal，需要细化到应用会话时由编排层为每个会话分配唯一 principal 和短生命周期票据；通过名称映射把 principal 转换为预先存在的 UNIX 用户，再以目录权限或 NFSv4 ACL 授予权限，名称映射应限定到明确的 principal 命名空间；将区域卷或数据卷的 export policy 设置为只接受所需的 Kerberos 安全类型，不再放行 sys。客户端挂载前需要取得有效票据并运行 rpc.gssd。
FPolicy 和自主勒索软件防护（ARP）在 agent 场景中分别起什么作用？
FPolicy 是 ONTAP 的文件操作策略框架，native engine 由 ONTAP 直接执行规则并拒绝命中的操作，适合拦截模式明确的高风险操作，例如创建特定扩展名的文件或把现有文件重命名为已知的勒索软件扩展名。ARP 是 ONTAP 内置的异常行为检测能力，分析文件活动、数据熵和扩展名变化，识别异常的批量改写、加密或删除，并在检测到威胁时创建快照和发出告警。两者都不是完整的访问控制，应作为检测和止损层，与访问边界、审计和快照恢复共同使用。
当会话失控改写或删除数据后，如何利用快照和 FlexClone 进行取证与恢复？
发现异常后，应先为相关卷创建快照冻结现场，再从该快照派生 FlexClone 取证副本，这样安全团队在副本上分析时不会修改原始现场。恢复时，FlexClone 会话独占一个卷，可以把该卷整体回滚到指定快照；多个 qtree 共用一个卷时，不能为恢复单个会话而执行整卷回滚，否则会同时撤销其他会话的合法改动，此时应仅从卷快照恢复目标 qtree 的目录，例如从 .snapshot 目录使用 rsync 同步目标 qtree。
