azure-service-fabric - 是否可以在 Service Fabric 中将应用程序彼此隔离？

Question

运行 Service Fabric 群集时，在其中运行多个应用程序是有意义的，但这些应用程序可能不会以任何方式相互依赖。例如，我可以在那里有一个 CustomerApp 和一个 WikiApp。

现在从安全的角度来看，如果 WikiApp 可以与 CustomerApp 隔离，那就太好了，因为 Wiki 显然不应该从保存客户数据的应用程序连接到服务。我可以将身份验证放入 CustomerApp 本身的服务中，以仅允许来自经过身份验证的服务的调用，但此外，如果 WikiApp 甚至无法连接或查看其他应用程序并且无法解析端点，那就更好了来自命名服务的地址。

那么，有没有一种方法可以通过平台功能真正将 Service Fabric 中的应用程序彼此隔离开来？我在文档中找不到任何关于它的信息，而且我也怀疑 Service Fabric 的工作方式是否可行，但它会非常有用。

需要明确的是，我真正谈论的是将应用程序 (ApplicationTypes) 彼此隔离，而不是单个应用程序中的服务。

Answer 1

内置了一些隔离级别:

应用程序实例具有进程级隔离，因为每个应用程序实例都在自己的进程中运行。

节点隔离是可能的，使用放置约束，通过约束它们在不同节点上运行来将服务彼此“隔离”。

容器支持将在 future 提供，应用程序和服务可以在容器内运行，以进一步隔离环境和资源。

服务可以在唯一的用户帐户下运行，您可以使用这些帐户在应用程序级别自行执行身份验证。

但不幸的是，今天的平台没有内置细粒度的基于角色的访问机制。因此，例如，运行查询以获取应用程序或服务列表或使用命名服务解析端点等系统范围的操作没有任何内置的基于角色的访问。