摘要

  • AWS 表示，European Sovereign Cloud 位于独立的 aws-eusc 分区；其他分区的凭证、S3 跨区域复制和 Transit Gateway 跨区域对等连接不能直接跨过这条边界。
  • RTO 与 RPO 是采购方为具体业务设定的目标，不是主权区域随产品一起交付的属性。
  • 只有目标账户、服务、身份与证书、网络、可恢复数据、容量和启用权限已经就绪，并在指定故障情景下完成计时演练，主权目标才构成可执行的恢复路径。

先问时钟从哪里开始

董事会看到第二个云分区，最容易提出的问题是“发生事故后多久能切过去”。但这句话常把准备工作从计时范围中删除。若事故发生后才创建账户、补齐 IAM 角色、申请配额、建立网络、签发证书和选择数据恢复方式，那么对外宣称的恢复时间只测了最后一段。

AWS 将 aws-eusc 描述为硬边界。位于其他分区的账户与凭证不能直接用于这套主权环境。AWS 还明确指出，S3 Cross-Region Replication 和 Transit Gateway 的跨区域对等连接不能跨分区工作。因此，一份在商业分区内部可行的恢复手册，不能原样把目标地址换成 eusc-de-east-1。

这并不削弱主权设计，反而说明了它的含义。AWS 称，位于德国勃兰登堡的首个主权区域在物理和逻辑上独立，采用专用的身份、计费、信任与 DNS 组件，全部位于欧盟，并被设计成即使与世界其他地区失去连接也可继续运行。供应商控制面的独立性可以支持管辖和运营要求，但它不会自动把客户业务搬到边界另一侧。

RTO 不是愿望清单

AWS 将恢复时间目标（RTO）定义为业务从中断到恢复可接受的最长时间，将恢复点目标（RPO）定义为可接受的最近可恢复数据点的最大陈旧程度。两者由机构自己确定。区域上线、合规声明或多可用区架构都不会替某个工作负载生成这两个结果。

要让一个较短 RTO 成立，目标必须在事故前保持相应状态。备份恢复模式持续成本较低，却把基础设施创建、数据恢复和业务启动都留在事故之后。Pilot light 预留关键组件；warm standby 维持缩小但可运行的系统；active-active 则支付两套持续服务能力。不同模式不是同一个“故障切换”标签下的技术偏好，而是把准备成本与停机时间分配到不同位置。

RPO 同样受实际机制约束。AWS 的架构指南说明，跨分区不能依赖原生 S3 跨区域复制，客户必须设计内部或外部同步工具。机构需要知道复制的是哪些数据、采用何种一致性、由谁授权、在什么链路上运行、积压时如何恢复。仅仅证明目标存在一个备份，并不能证明其内容足够新，也不能证明它能被正确装载。

一次有效演练必须在原始故障留下的状态开始计时。例如，如果假定商业分区身份平面不可用，就不能先用该身份补齐目标权限；如果假定跨境传输受限，就不能在演示前手工复制数据；如果假定全球连接中断，就不能由只在源环境登录的远程操作员完成启动。否则测到的是预先修复后的启动时间，而不是灾难恢复时间。

十一个前置条件必须同时成立

目标账户与组织结构是第一层。它们要在独立分区中提前建立，并具有可审计的角色和策略。身份与证书是第二层：用户、服务身份、密钥、证书签发和撤销不能依赖计划中将失效的控制面。

网络与 DNS 是第三层。AWS 提到互联网 TLS、IPsec VPN 或与 Direct Connect 相关的方案，但任一方案都需要地址、路由、防火墙、名称解析、密钥和运营责任。日常连通不代表它能承受法律命令、运营商故障或更广泛的隔离情景。

服务与功能清单是第四层。AWS 发布了较广的服务列表，并指向持续更新的能力矩阵。列出同名服务不等于具体 API、功能、实例族、配额或依赖服务具备对等能力。合规范围也不等于功能对等。

数据状态、容量与启用权限构成其余关键层。多可用区和冗余供电说明供应商基础设施具有韧性，却不能说明客户已获得足够配额或预留资源。技术团队即使能启动系统，也未必有权在紧急状态下移动受监管数据、改变处理地点或向用户切换流量。恢复路径同时需要工程可行与法律可执行。

AWS 的共同责任指南把多位置部署、自愈、备份与复制策略、网络、配额、可观测性、运行手册和持续测试放在客户责任中。云本身具有韧性，不等于云中的业务具有韧性。

四种证明不能互相替代

主权证明回答的是治理独立、运营控制、数据驻留和技术隔离。基础设施证明回答的是 AWS 区域能否在故障中维持平台。应用可用性证明回答的是业务在正常目标环境中的运行情况。灾难恢复证明才回答指定事故发生后，完整服务能否在 RTO/RPO 内恢复。

把四者合并，会让一个强证据遮住另外三个空白。例如，一个服务进入保障范围，只说明其合规评估位置发生变化，并不证明容量已经预留；一份基础设施即代码成功部署，也不证明数据、身份和启用授权已经齐全。

现有 AWS 来源没有披露任何采购方的业务依赖、目标配额、数据量、一致性要求、演练时长、回退结果或成本，也没有证明某个具名受监管业务已完成跨分区故障切换。因此，本文能判断的是应当具备哪些控制，不能宣称某家机构已经恢复成功。