第2章：混合云架构基础：数据流转与部署模型

聊混合云DSPM之前，咱们得先把底层的架构摸清楚。数据在公有云、私有云、边缘云之间怎么跑？常见的部署模型有哪几种？

我在项目里见过不少团队，一上来就搞数据安全策略，结果发现数据流转路径都没画清楚。说白了，不知道数据怎么流，安全就没法落地。这一章咱们把它梳理透。

2.1 三种云的定位与数据特点

先给个直观的对比。公有云、私有云、边缘云，三者的核心差异在管控权和物理位置。

我刚开始接触混合云时，总把边缘云当成“小号私有云”。后来踩过坑才发现——边缘云的网络稳定性、运维手段跟私有云完全两码事。数据在边缘侧经常断连，DSPM策略必须考虑离线缓存和异步同步。

2.2 数据流转模式

数据在三个云之间怎么走？我习惯画一张逻辑图来理解。你想想看，典型的数据流无非四种场景。

2.2.1 公有云 ↔ 私有云

这是最常见的混合云模式。敏感数据留在私有云，计算弹性部分放公有云。数据流转通常通过专线或VPN隧道，传输量级大、频率高。

• 同步复制：实时或准实时，用于高可用、灾备。比如把私有云的数据库实时同步到公有云只读副本。
• 异步批量：定时或事件触发，用于数据分析、模型训练。我见过一家金融客户，每天凌晨把脱敏后的交易数据打包上传到公有云做风控建模。

2.2.2 公有云 ↔ 边缘云

边缘设备采集数据，上传到公有云做集中训练；云端下发模型或配置到边缘。

• 上行流：设备产生的日志、传感器数据、视频流，经边缘过滤后压缩上传。
• 下行流：模型更新、规则策略、补丁包。

2.2.3 私有云 ↔ 边缘云

很多工业场景，边缘云直接对接私有云，不走公网。比如工厂内部的边缘节点，把质量检测数据上传到私有云制造执行系统（MES）。

• 通常使用专线、5G专网或工业以太网。
• 数据安全性高，但网络拓扑复杂，跨网段的访问控制容易出漏洞。

2.2.4 三角/环状流转

数据在三个节点之间来回跑，比如：边缘设备采集→边缘云预处理→私有云存储→公有云分析→模型下推→边缘云执行。这种场景下，DSPM得跟踪每一跳的副本和衍生数据。

2.3 常见混合云部署模型

行业里一般把混合云部署模型分成三大类。我个人的理解更直白：看数据中心和数据是“连起来”还是“分开跑”。

2.3.1 同构扩展型

同一套云平台（比如VMware vSphere或OpenStack）同时管理私有云和公有云资源。数据可以无缝热迁移。

• 优点：运维统一、迁移简便。
• 缺点：技术绑定严重，容易被供应商锁定。

2.3.2 异构协同型

私有云用一套平台（比如OpenStack），公有云用另一套（比如AWS、Azure）。两层之间通过标准API和SDN连接。

• 优点：灵活选型、成本可控。
• 缺点：运维复杂，数据迁移和一致性很难保证。

我参与过一个异构协同项目，私有云跑Oracle RAC，公有云用AWS RDS做读副本。数据需要跨云实时同步，中间用了第三方的CDC工具。DSPM策略里必须单独处理CDC产生的日志表，不然会漏掉敏感数据。

2.3.3 云原生化混合

基于Kubernetes等容器编排平台，应用层统一调度，底层基础设施可以是任意云。数据通过容器持久卷、CSI接口跨云迁移。

• 优点：应用可移植性最强。
• 缺点：对网络延迟、存储性能要求高。

2.4 数据流转与DSPM的映射

搞清楚流转模式之后，DSPM才能对号入座。我习惯用下面的图来建立全局认知——

2.5 实操建议：如何绘制你的数据流转图

这一章讲了这么多，最后给个可落地的建议。我个人在每次项目启动时都会带团队做一件事——

1. 列出所有参与的数据源与目标端（包括中间件、消息队列、缓存）。
2. 标出每一跳的传输方式（专线/VPN/公网/离线）。
3. 标注数据格式、加密状态、脱敏策略。
4. 特别圈出“数据停留点”——比如边缘节点的本地缓存、公有云的临时表、私有云的归档存储。
5. 把这张图放进DSPM资产清单的元数据里，后续策略配置才有依据。