CNCF：EU 法规下云原生平台数字主权的架构模式
CNCF 发布了云原生平台数字主权架构模式指南，因 EU Data Act 已于 2025 年 1 月 11 日全面生效。监管机构期望四项属性：司法管辖区约束、运营自主权、加密访问控制和可移植性。单个 Kubernetes 集群是不够的，因为共享 control plane 意味着共享风险；建议每个司法管辖区拥有自己的 control plane（vCluster），并通过 GitOps 声明边界。
🤖
本文由人工智能基于一手来源生成。
CNCF（云原生计算基金会）发布了一份关于数字主权的指南，将其视为工程问题而非仅仅是法律问题，这一需求由 EU Data Act 的全面实施而引发。
为什么主权成为了工程问题？
EU Data Act 已于 2025 年 1 月 11 日全面生效，使数字主权成为平台工程的关注点，而不仅仅是法律团队的事务。监管机构期望四项属性：司法管辖区约束（数据和处理保持在规定司法管辖区内）、运营自主权、加密访问控制和可移植性。这些属性需要内嵌到架构中，而不是事后附加。
为什么单个集群不够？
根据 CNCF 的说法，单个 Kubernetes 集群是不够的，因为共享 control plane（集群管理层）意味着跨司法管辖区的共享风险。建议的模式是租户集群：每个司法管辖区获得自己的 Kubernetes control plane，以 Pod 形式运行，例如通过 vCluster 实现。这样可以在基础设施层面隔离主权边界。
实践中如何维护边界？
指南建议使用 Argo CD 或 Flux 等 GitOps 控制器将主权边界在代码中声明。GitOps 是一种将基础设施的期望状态记录在 Git 仓库中并自动应用的方法。对于在 EU 运营的平台，这些模式将监管要求转化为可验证、可重复的架构。
常见问题
- 监管机构期望哪四项属性？
- 司法管辖区约束、运营自主权、加密访问控制和可移植性。
- 为什么单个 Kubernetes 集群不够？
- 共享 control plane 意味着跨司法管辖区的共享风险；建议每个司法管辖区使用独立的 control plane。