衡石多租户 BI PaaS 深度解析：数据隔离、资源分发与租户自助分析

SaaS 厂商服务不同企业客户时，分析需求往往同时存在两种形态：一类客户希望直接使用标准经营报表，另一类客户需要关联自有数据、调整指标、创建自己的看板。平台方既要持续迭代公共分析能力，也要让各租户拥有独立的工作空间和治理权限。

衡石的多租户 BI PaaS，将租户空间、数据连接、数据包、分析应用、身份权限和引擎资源组织成一套交付体系。 平台可以按不同层次提供数据与分析能力，租户则在授权范围内继续建模、创作和分发。这使 SaaS 厂商能够同时经营标准分析产品和面向重点客户的自助分析服务。

从平台交付到租户自主分析：先看资源关系

图中展示平台共享与租户本地资源的基本关系。要理解其技术价值，还需要继续追踪三个问题：用户身份如何映射到数据范围，平台交付到哪一层，以及租户创建的新资源由谁维护。

一、租户空间：把客户组织与分析资产的管理关系对应起来

衡石为租户提供独立分析空间。租户管理员负责本空间的用户与授权，成员可使用数据连接、数据集市、应用创作、应用集市等模块，按角色开展数据建模、分析和内容交付。平台方管理租户，而租户管理员管理本企业内部的使用关系。

这套结构适合把 SaaS 的企业客户映射为分析服务中的租户。客户 A 新建的经营看板、客户 B 接入的业务数据，各自在所属空间维护。平台向租户交付公共资源时，也保留资源归属和二次授权层次，避免将平台运营与客户内部管理混为同一职责。

平台方 维护公共数据与分析产品，决定向哪些租户交付哪些资源。

租户管理员 在本租户空间组织成员、分配资源并维护内部使用权限。

租户成员 按已授予的功能和数据权限，看数、建模或创作应用。

参考：租户管理。

二、身份与用户属性：让业务系统的客户信息参与数据访问

用户进入嵌入式分析页面时，业务系统通常已知道其企业、部门、门店和角色。衡石可通过 SSO、JWT 或用户属性同步，将这些身份信息用于后续资源授权和数据过滤。接入团队应先建立业务客户、衡石租户、用户及用户属性的映射，再加载分析页面。

映射对象	承接内容	在多租户分析中的用途
企业 / 租户	企业标识、名称与平台关系	确定用户进入哪个租户空间
用户 / 角色	登录身份及获授权的功能角色	确定能查看、分析还是管理相应资源
用户属性	区域、组织、门店集合等业务信息	作为数据过滤、动态连接或分析上下文的依据

衡石支持多种认证方式并存。已有标准身份中心的企业可选择 LDAP、CAS、SAML2、OAuth2 等方式；宿主系统已完成登录、希望把当前身份带入页面或 SDK 时，可以采用 JWT 请求参数。JWT 的声明映射还可将相应信息写入用户字段或用户属性。

租户认证模式可在配置企业信息映射后，于首次登录时生成相应租户记录；平台也可以手动创建租户。这两种方式让平台能够按自己的开户和身份管理流程组织接入。JWT 本身负责传递身份，组织同步、账号停用和退出联动仍应在集成方案中明确。

参考：认证与 JWT、数据权限方案。

三、数据隔离：适配共享表、分库分表与租户自有数据

SaaS 的租户数据未必采用同一种存储结构。衡石通过连接、用户属性和权限规则适配不同组织方式，上层分析可以继续使用数据集、指标和应用等业务对象。应先确认数据实际存放在哪里，再选择相应访问路径。

数据组织方式	衡石的承接方式	方案设计重点
共享库、共享表	将租户或组织属性用于连接 / 应用的数据过滤规则	租户标识、用户属性与权限条件需要对应一致
不同实例、数据库或 Schema	在支持的连接属性及数据引用中使用用户属性，组织动态访问	核对数据源驱动、属性映射和实际访问目标
平台数据 + 租户私有数据	分发公共数据包，租户在本空间接入自有数据并关联分析	明确关联键、指标口径、资源归属和新对象权限

用户属性既能表达数据范围，也能衔接动态连接

例如，平台可维护企业归属、数据库地址或数据库名等映射，让同一类分析逻辑按用户属性访问相应的数据环境。衡石的连接管理允许在支持的连接属性字段中使用用户属性；应用或数据集中的表达式也可以使用属性完成业务过滤。

属性的作用范围还支持区分“内部”与“全局”。全局属性可由平台按租户设置值，使该租户成员取得相应属性值；内部属性用于本空间。属性还可设置只读或隐藏的开放级别，其中隐藏属性主要用于连接场景，避免将相关配置值直接展示给普通用户。属性定义的可见性与属性值的作用范围应分别理解。

这些机制支持复用模型与连接配置，但不要求每个客户都采用相同数据库架构。对存储结构差异较大的客户，平台也可分别接入数据源，再复用上层可适配的指标与应用结构。

参考：连接管理、用户属性。

四、分层分发：平台交付到哪一层，决定租户能自助到哪一层

衡石支持按连接、数据包和应用等层次向租户交付。平台可按客户成熟度逐步开放能力：先提供标准看板，再提供可分析的数据包，最后为具备数据能力的客户开放更完整的建模条件。

交付对象	租户获得的分析起点	适合的交付诉求
数据连接	在授权的目录、表和数据范围内使用连接	租户需要自行组织和加工数据
数据包	使用平台已准备的数据集与分析模型	平台统一业务对象，租户开展分析与扩展
团队空间 / 公共空间的应用	查看、按授权复制或导出模板	标准报表分发及基于样板的个性化创作

连接授权本身也有层次。衡石区分查看名称（LS）、查看数据结构（SC）、只读访问（RO）和完全访问（RW），并可在连接、目录、表等层级设置规则。表级 RO 规则支持行列控制，复杂跨表数据过滤还可结合 SQL 表达式。平台因此能够按分析任务开放相应能力，而不是向每个客户开放同一数据源的全部操作。

默认交付链路为：平台向租户授权，再由租户管理员向成员二次授权。平台共享的数据包与应用在租户界面中有对应的平台资源位置，租户可区分平台提供的内容与本地创作。资源共享以平台向租户的单向分发为基础，租户本地内容不会自动回流到平台。

参考：连接权限、多租户与 OEM。

五、数据权限模式：同一张报表如何面向不同使用者

资源授权决定某人能否进入一个应用，数据权限决定图表基于谁的数据以及哪些规则计算。衡石的应用提供应用作者、数据集作者、使用者三种数据权限模式，选型与实施时需要将其纳入交付设计。

数据权限模式	计算所基于的数据身份	适配思路
应用作者	应用创建者可访问的数据，再叠加相应应用规则	平台制作标准分析内容并控制分发范围
数据集作者	数据集创建者可访问的数据，再叠加相应应用规则	复用已准备的数据资产开展报表交付
使用者	当前使用者的连接访问权限	希望依据访问者自己的连接规则查询数据

“使用者”模式按当前账号的连接权限访问，不能将应用层的行权限设置照搬到该模式；含导入引擎数据集的应用也不能直接切换为使用者模式。数据权限模式会影响查询身份和引擎使用条件，因此应在标准报表设计阶段确定。

新增分析对象时，继续检查其权限来源。 基础数据集的行权限不会自动下推到新建的 join 数据集。若租户或平台关联生成新的数据集，应在新对象上确认规则，并使用目标用户复测。连接的父级继承规则与新增规则也可能共同生效，需要检查最终授权范围。

对需要按门店管理的客户，可先用企业归属限定租户数据，再结合用户的授权门店集合配置可见范围，并为敏感字段配置列权限。查看明细、导出数据等操作权限则另外配置和验证。前端筛选器负责交互选择，实际访问范围由服务端身份及权限配置决定。

参考：应用设置与数据权限模式、行列权限控制。

六、标准产品与个性化分析：公共模型和租户创作如何配合

平台维护公共模型时，可把行业常用的业务对象、指标和看板整理成标准分析产品。租户继承或使用获授权的数据包后，可以在自己的空间开展分析，并按业务需要关联自有数据。例如，跨境电商客户可将平台订单数据与自有成本数据结合，用于建立适合本企业的利润分析。

租户不能直接修改平台共享资源的原始内容。需要个性化调整时，可以在允许的复制或模板机制下形成独立资源，由租户负责维护。这样既保护公共分析产品，也给客户的特殊字段、指标口径和看板布局保留了扩展位置。

复用目标	合适方式	更新时的处理
多人共同编辑一个应用	应用协作	按协作角色及发布权限维护同一对象
客户需要独立调整看板	创建副本	副本形成独立维护责任，单独检查变更
在不同环境复用分析结构	导出模板 / 用模板创建	核对连接、数据包依赖与目标数据结构

发布后的应用以发布时的内容形成交付版本；创作区变更后需要重新发布。具备相应授权并为租户启用应用版本管理时，租户还可预览、还原历史分析版本。历史版本包含仪表盘、数据集、模型和参数等分析内容，不包含数据连接与权限设置；还原后仍需核对当前连接和授权。

标准看板更新与租户副本演化也应分别维护。平台可公布新增指标和布局变化，租户再评估是否采纳；跨环境使用模板时，应核对数据包绑定，不能仅替换数据库地址便假定全部引用都已适配。

参考：应用交付与模板、应用版本管理。

七、租户运营：从开户、授权到资源分配

多租户交付还涉及服务期限与计算资源。衡石的租户管理可维护租户状态、有效期、用户配额和到期提醒，并支持更新授权、启用与禁用租户。平台可为租户分配独立使用的引擎资源，资源份额对应 CPU 算力和内存。

平台可据此把客户接入与分析资源规划一起管理：开户时确认服务范围，按需求配置引擎份额，上线后观察负载，再调整资源与分析方式。引擎分配针对衡石引擎资源；源数据库的计算能力、模型服务额度及外部系统容量，需要结合实际调用路径规划。

• 开户： 核对多租户授权、企业映射、服务有效期与成员规模。
• 交付： 确定连接、数据包或应用的授权清单，以及租户内二次授权方式。
• 运营： 检查查询耗时、刷新任务与使用高峰，按证据评估数据引擎及源端容量。
• 停用： 处理登录与访问、共享资源和租户保留数据，记录交付处置。

参考：租户授权与引擎分配。

八、公开实践：标准报表分发与租户自助分析

分贝通：把通用分析内容交付给不同企业客户

衡石《BI PaaS 场景化分析白皮书》介绍，分贝通通过 SSO 和用户属性衔接租户信息，以通用报表配合权限规则，让不同租户查看各自数据，并将分析嵌入费控产品。它说明平台可围绕共性业务维护标准内容，再按身份分发。

领星：在公共数据之上开放个性化分析

同一白皮书记录，领星既向租户提供平台制作的报表，也向部分客户开放自助分析模块；租户可使用平台分发的数据包，结合自有数据库继续分析。这条路径展示了从标准报表消费到客户自主建模的扩展方式。

案例来源：衡石 BI PaaS 场景化分析白皮书，第 20—24 页。

九、接入 Agentic BI：让智能分析使用已有的租户资源体系

多租户 BI PaaS 为智能分析提供了可管理的业务资源。用户进入租户空间后，可在启用的 Data Agent 入口中，围绕已有数据集、指标和看板开展自然语言问数及连续分析；在支持的创作入口内，还可进一步生成或调整可视化内容。

例如，客户 A 的区域经理提出“比较本月各门店退款率”，分析需沿用 A 的指标定义、授权门店和数据连接；形成新看板后，再按租户内部规则交付给同事。平台共享通用分析方法，租户保留本地数据和创作成果，智能分析因此可以接入已有的分析治理流程。

若 SaaS 厂商另外接入知识检索、会话缓存或业务动作工具，应让这些组件校验相应租户和调用身份。系统级提示词、模型配置与租户入口开关的作用范围应分别确认。这里应把已有多租户资源机制与外部组件的实施职责衔接起来，不能仅靠提示词声明客户身份。

参考：Data Agent 与 ChatBI。

把多租户能力验收到真实交付链路中

验收场景	应取得的结果
企业身份映射	用户进入正确租户，组织与门店属性符合宿主系统
不同数据存储方式	共享表过滤、动态连接或私有数据接入得到预期访问范围
平台分层授权	连接、数据包、应用及租户成员授权关系清楚
租户自助加工	派生数据集、指标与新看板有可复核的数据和权限来源
版本与个性化变更	平台发布、租户副本和历史版本按各自维护方式更新
高峰与续期运营	结合资源份额、查询路径和服务授权验证运行情况

衡石多租户 BI PaaS 的价值体现在这些机制的配合：平台能将共性分析产品持续分发给客户，客户也能在独立空间中扩展自己的数据与分析。对 SaaS 厂商而言，这提供了一条从固定报表、个性化交付到自助分析和 Agentic BI 的能力演进路径。