在多租戶MVNE環境中，從HSS遷移至5G UDM/UDR，常被視為一次標準升級。其影響更為深遠：用戶資料分區必須界定在驗證、政策及生命週期事件中，誰可讀取、寫入及證明用戶狀態。如隔離僅存在於BSS的租戶視圖，而核心 API 與營運角色仍為共用，MVNE 改變的只是介面，而非風險。
共用 HSS 模式掩蓋了權責問題
傳統 HSS 環境讓租戶管理看似可控，因為可見的邊界已為業界所熟悉。MVNE 可配置IMSI號段、設定租戶專屬的APN政策，並提供獨立的佈建視圖。邏輯HLR/HSS 設定檔可支援不同的產品、號碼計畫及批發結算。但這些措施本身並不能在用戶紀錄之間，或在獲授權變更這些紀錄的人員之間，建立嚴格隔離。
這項區別至關重要，因為面向租戶的視圖僅代表控制面的其中一部分。在其底層，HSS 保留驗證向量、服務設定檔、與位置相關的狀態及佈建歷史。租戶管理員可能僅能在入口網站看到其自身用戶，而中央營運團隊則透過共用佈建工具、資料庫角色或支援程序保有廣泛存取權。因此，商業分割可與涵蓋所有託管租戶的營運權限並存。
共用Diameter介面進一步強化了這種集中化。不同MVNO租戶可擁有各自的MNC/MCC組合、號碼範圍及資費政策，但請求仍會通過共用前端及營運佇列。該架構可辨識哪一位用戶屬於哪一個商業領域，卻未必能辨識在特定時間點，是哪一家營運商、管理員或自動化程序對該用戶行使了權限。
也存在合理的相反觀點。對於低容量租戶，共用 HSS 仍可具備商業合理性。若兩種模式的存取政策同樣薄弱，專用基礎設施可能增加成本，卻未能實質改善控制。若角色指派範圍有限、變更須經核准、特權工作階段均有記錄，且稽核軌跡定期接受測試，共用基礎設施可提供可接受的控制環境。
因此，問題不在於共用本身，而在於模糊性。合約與營運程序往往未能說明哪一方可變更用戶狀態、擷取驗證材料、核准人工修正，或在服務中斷時啟動例外處理。HSS 至 UDM 的遷移會揭露此一缺漏，因為用戶紀錄不再透過單一主導性的儲存庫介面存取，而是由更廣泛的一組功能、身分及服務化交易所使用。
UDM 與 UDR 建立可分離的領域，而非自動隔離
5G 的服務化模型將應用邏輯與持久化用戶資料分離。UDM 處理面向用戶的邏輯，並向多個網路功能提供服務；UDR 則儲存訂閱、政策及相關的結構化資料。這種分離可提供比以 HSS 為中心的設計更精確的控制點，但同時也擴大了必須受到治理的使用方數量，包括其身分、權限及營運目的。
可信的租戶邊界必須以一致方式表達。SUPI配置應對應至一個租戶及一個承擔責任的營運實體。UDR 命名空間應保留該項對應關係。OAuth2用戶端憑證及 API 範圍應區分讀取、寫入及管理作業。NF註冊應防止具廣泛特權的使用方成為繞過租戶控制的非預期途徑。僅套用於儲存庫、閘道或入口網站的邊界仍屬不完整。
- 用戶識別碼邊界
- SUPI/IMSI 配置及路由必須明確對應至一個租戶及一個承擔責任的營運實體。
- UDR 資料邊界
- 訂閱與政策資料的租戶專屬命名空間、紀錄存取規則及生命週期控制。
- SBA 存取邊界
- 針對讀取、寫入及管理作業，分設 NF 用戶端身分、OAuth2 範圍及 API 權限。
- 營運邊界
- 以角色為基礎的存取、核准工作流程及不可竄改的稽核紀錄，可識別租戶與營運商行動。
若每一租戶均佔有受限的資料領域、寫入權限明確，且保留與匯出規則可獨立套用，共用 UDR 仍可行。邏輯分區可在保留共用基礎設施及營運經濟性的同時，滿足多數批發要求。實體分離不應僅因較容易在 RFP 中描述，便被視為普遍預設選項。
然而，在某些情況下，實體分離會變得合乎比例。受監管租戶、敏感企業用戶群，以及在合約上具資料主權要求的資料集，可能需要專用儲存空間、加密領域或營運環境。決策應依循威脅模型與合約風險，而非對共用或專用部署的籠統偏好。
證據比拓撲標籤更有價值。批發買方應要求 MVNE 展示租戶刪除、資料匯出、稽核調閱及災難復原作業，而不會暴露相鄰紀錄。還原測試應證明，租戶專屬資料集可復原至既定時間點，無須回復非相關租戶的資料，也不會向復原人員授予不受限制的整個儲存庫存取權。
驗證與政策流程揭示商業責任斷層
最重大的風險存在於驗證、政策及漫遊決策以網路速度跨越組織邊界的流程。AUSF依賴 UDM 驗證服務，而該服務又依賴訂閱資料及受保護憑證。一次驗證失敗可能需要來自多項功能、API 交易及營運團隊的證據。能夠啟動、觀察或排查該鏈路的一方，可能取得超出一般用戶佈建範圍的存取權。
因此，金鑰材料處理需要更嚴格的模型。驗證向量產生、憑證輪替及緊急存取不應沿用日常設定檔修訂所使用的權限。特權介入應設有時限、另行核准，並同時針對用戶領域及執行操作的組織留下紀錄。可檢視所有租戶的通用基礎設施帳戶或可簡化故障處理，但也會破壞租戶隔離的商業主張。
政策亦引入平行的責任斷層。一項租戶專屬產品可能依賴分佈於PCF、傳統PCRF及OCS環境的規則。共用政策範本、通用計費邏輯或不受限制的覆寫權限，均可能削弱資費及服務權益表面上的隔離。即使 UDR 邊界正確，若共用規則物件在未經相依性分析下遭到修改，一個租戶的政策變更仍可能影響另一個租戶。
漫遊、multi-IMSI及eSIM生命週期事件是有用的壓力測試案例。歸屬網路選擇可能改變目前啟用的用戶身分。設定檔啟用可改變哪一組憑證具有權威性。拜訪網路訊令可能通過多於一方的批發參與者。在每種情況中，用戶的商業所有者、技術歸屬地及現行政策權限可能並非同一實體。
服務 EMEA 地區 12+ 個租戶的 MVNE 說明了此治理問題，但不表示規模本身並不安全。每增加一個租戶，共用驗證及政策元件便產生更多權限組合、支援路徑及例外情境。當租戶使用不同的漫遊贊助方、政策堆疊或身分配置時，控制負擔的成長速度會快於租戶數量。標準化上線可減少差異，但前提是例外情況仍然可見，而非演變為未記錄的營運慣例。
證據標準應是交易層級的可問責性。租戶應能確認哪一項網路功能作出決策、哪個資料版本為該決策提供依據，以及哪一方授權了例外處理。這不要求持續公開每一項內部事件，但要求具備可關聯的紀錄、持久識別碼，以及可在爭議或事故期間產出連貫說明的調閱程序。
分區必須成為批發控制義務
用戶資料分區應在批發協議中列為可衡量的營運義務，而非上線期間接受的架構主張。MNO與 MVNE 的協議應分配 UDM/UDR 存取管理、事故通知、合法揭露處理、保留及安全租戶退出的責任。協議亦應指明哪一方核准特權存取，以及由誰承擔證明某項行動仍在授權範圍內的責任。
批發團隊應要求與這些義務直接對應的證據。權限矩陣應識別人員及機器身分。API 範圍清單應顯示哪些功能可讀取、寫入或管理各類資料。特權存取日誌應保留操作者、租戶、目的、核准及受影響紀錄。租戶專屬還原程序應說明復原相依關係。滲透測試範圍應包括嘗試透過 API、管理工具及復原路徑跨越租戶邊界。
變更控制同樣重要，因為隔離可能在驗收測試後逐步弱化。對共用 UDM 綱要、驗證參數、政策規則或 API 閘道的修改，應在發佈前進行租戶影響分析。測試應同時驗證預期允許的存取及預期拒絕的存取。緊急變更應觸發事後審查，尤其是在為恢復服務而引入臨時權限、診斷端點或共用政策物件時。
服務目標除可用性外，亦應涵蓋證據品質。正常運作時間衡量平台是否維持可連線，卻無法顯示營運商能否在議定期間內提供用戶資料存取軌跡、識別特權工作階段觸及的每一個租戶，或隔離疑似跨租戶暴露。這些回應時間會影響監管通知、客戶保證及批發各方之間的責任分配。
即使 MVNE 營運用戶管理層，MNO 仍應保有對這些控制措施的可見性。外包平台並不會消除宿主網路對驗證失敗、政策錯誤、揭露爭議或用戶信任流失的風險。監督不一定意味著直接營運控制，但應包括稽核權、明確的證據格式，以及在分區控制失效時的升級處置權限。
隨著 5G 用戶管理移入 UDM 及 UDR 環境，在資料、驗證及政策決策方面能展示租戶專屬控制的 MVNE，才具備商業可信度。相關測試不在於技術堆疊是否為雲端原生，而在於批發合作夥伴能否在日常營運、事故應變及租戶退出時驗證邊界。架構建立可能的邊界；可問責的營運決定該邊界能否在真實網路環境中維持。