English
Nederlands
Deutsch
Français
Español
Português
Italiano
Polski
中文
हिन्दी
仅欧洲替代方案 Alibaba Cloud.
Alibaba Cloud（阿里云）是亚洲最大的云服务商，也是全球第三大云服务商。Alibaba Group Holding Limited 注册于开曼群岛，但在运营和实际控制上均来自中国。中国《国家情报法》（2017年）第七条规定，中国组织有义务“支持、协助和配合国家情报工作”，这相当于中国版的美国 CLOUD Act，且范围可以说更广。Alibaba Cloud 的法兰克福和伦敦地区位于欧盟境内，但受中国控制。对于需要 Schrems II 式主权保障的欧盟买家而言，Alibaba Cloud 带来的第三国风险敞口，在法律上甚至比美国供应商更难以自圆其说。
- 供应商
- Alibaba Cloud
- 总部
- Hangzhou, CN
- 司法管辖区
- 中国（中华人民共和国）
- 法律制度
- PRC Cybersecurity Law, Data Security Law, National Intelligence Law (Art. 7)
"欧盟区域"不等于主权。四个问题决定一切。
数据驻留告诉你数据存放在哪里。主权则告诉你哪个法律体系可以强制访问。这四点的答案必须都成立 - 否则该技术栈就不具备主权性。
- 驻留
-
数据物理存储在哪里?
不只是笼统的“在云端” - 而是具体在哪个数据中心、哪个国家、受哪种司法管辖。
- 次级处理者
-
您的数据路径中还有谁?
每一个接触数据的供应商:CDN、邮件中继、错误追踪、分析管道。
- 司法管辖区
-
哪些法律可以强制披露?
总部位于美国的提供商受 FISA 702 和 CLOUD Act 管辖 - 即使数据存放在法兰克福也不例外。
- 密钥托管
-
谁实际持有加密密钥?
如果云服务商同时持有数据和密钥，无论签订何种 DPA，数据对其而言都是可读的。
在司法管辖权和密钥托管上失败。
欧盟数据、美国母公司、默认路径中的美国次级处理者、供应商管理的密钥。
四项全部通过。
托管在欧盟、由欧盟总部基础设施提供。默认路径中零美国次级处理者。客户持有或欧盟 KMS 密钥。在您的第 28 条 DPA 中按名称列出。
为什么团队正在退出 Alibaba Cloud
欧盟中端市场对 Alibaba Cloud 的使用主要集中在几种特定模式：面向中国消费者的跨境电商、中国母公司的欧盟子公司，或是最初因中国特定业务需求而采用阿里云、如今发现欧盟业务面临监管压力的公司。我们观察到促使迁移的因素包括：欧盟客户（B2B）拒绝通过阿里云进行数据处理、NIS2 关键实体分类将中国供应商标记为供应链风险，或是 2024 年欧盟对中国云和 AI 供应商监管收紧后董事会层面的担忧。欧盟主权技术栈可以干净利落地处理欧盟一侧的工作负载；中国特定的工作负载则可在适当情况下保留在有明确文档记录的混合架构中。
Alibaba Cloud 服务及其仅欧盟等效方案
迁移不是"换一个盒子"。下面的映射是我们为离开以下平台的客户运行的 Alibaba Cloud 基于 Schrems II 的考量 - 完全适用欧盟司法管辖，数据链路中不涉及美国母公司。
Elastic Compute Service (ECS)
- 我们改用什么
- Binadit 托管云平台。基于 Debian 或 Ubuntu 的 KVM 虚拟机，使用 Terraform 供给资源，通过 Ansible 配置。
- 工程说明
- 标准虚拟机迁移。将镜像从 CentOS/Aliyun Linux 重建为 Rocky/Alma/Debian。大多数应用技术栈可无需改动直接迁移。
Object Storage Service (OSS)
- 我们改用什么
- Binadit 托管云平台。MinIO 或 Ceph RGW，兼容 S3。
- 工程说明
- OSS 支持兼容 S3 的 API；迁移只需配置端点并同步数据。
ApsaraDB RDS
- 我们改用什么
- Binadit 托管云平台。PostgreSQL 或 MySQL 配合 Patroni 实现故障转移，pgBackRest 实现时间点恢复。
- 工程说明
- RDS 底层使用 MySQL/PostgreSQL/SQL Server；可根据数据规模选择逻辑复制或导出/恢复方式进行迁移。
Container Service for Kubernetes (ACK)
- 我们改用什么
- Binadit 托管云平台。基于 Debian 或 Talos 的 Kubernetes，使用 Cilium 网络方案，并通过 cert-manager 管理证书。
- 工程说明
- ACK 是带有 Aliyun 特定插件的上游 Kubernetes；标准的 nginx-ingress 和 cert-manager 可替代 ACK 专有的对应组件。
Function Compute (FaaS)
- 我们改用什么
- Binadit 托管云平台。在您的 Kubernetes 集群上运行 Knative 或 OpenFaaS。
- 工程说明
- 函数迁移是机械化的过程；运行时模型可以顺利迁移。
Server Load Balancer (SLB)
- 我们改用什么
- Binadit 托管云平台。HAProxy 或 Nginx，配合 keepalived 实现故障转移。
- 工程说明
- 所有欧盟方案均提供标准 L4/L7 负载均衡。
Anti-DDoS Pro
- 我们改用什么
- Binadit Private Infrastructure。上游流量过滤，在应用边缘配合限速与 CrowdSec。
- 工程说明
- 流量型攻击在到达您的服务器之前就会被上游吸收。应用层滥用行为则在能够真正被理解的地方处理，即紧邻您的流量之处。
Web Application Firewall
- 我们改用什么
- Binadit 托管云平台。Coraza 或 ModSecurity 配合 OWASP Core Rule Set，并使用 CrowdSec 进行行为拦截。
- 工程说明
- 规则集可以直接迁移；OWASP Top 10 覆盖在各处都是标配。
CDN
- 我们改用什么
- 我们为您部署并运维欧盟 CDN：Bunny.net 或 KeyCDN，并在源站使用 Nginx 和 Varnish 进行缓存。
- 工程说明
- CDN 是我们少数不自行运行的层级之一。我们会选定 EU 提供商，配置缓存头、清除策略和源站防护，并将其作为托管服务的一部分进行运维。
Alibaba Cloud DNS
- 我们改用什么
- Binadit 托管云平台。PowerDNS 或 Knot，权威 DNS，经 DNSSEC 签名。
- 工程说明
- 标准区域迁移。
Tablestore (NoSQL)
- 我们改用什么
- Binadit 托管云平台。MongoDB 副本集，或在文档模型并不复杂的场景下使用带 JSONB 的 PostgreSQL。
- 工程说明
- 对于宽列（wide-column）工作负载，ScyllaDB 是现代开源方案的代表。
PolarDB
- 我们改用什么
- Binadit 托管云平台。由 Patroni 管理跨节点的 PostgreSQL 故障转移，支持自动提升。
- 工程说明
- PolarDB 兼容 MySQL/PostgreSQL；可通过逻辑复制完成迁移。
我们如何迁移离开 Alibaba Cloud
典型的中端市场迁移分为三个阶段进行。以下数据假设工程团队规模为 6-10 人，应用程序技术栈复杂度中等。
-
第 1-3 周
审计 + 流量区域拆分
对阿里云服务进行清点，并按流量区域分类：服务于中国大陆用户的（可保留在阿里云上，但需记录EU数据的暴露情况），服务于EU用户的（优先迁移到EU主权技术栈）。输出：附带明确边界的分阶段计划。
-
第 3-10 周
面向欧盟的工作负载完成切换
面向欧盟的流量逐步切换到欧盟主权技术栈。数据库副本预先部署。存储同步。边缘节点迁移至 Bunny.net。
-
第 10-14 周
下线 Aliyun 的 EU 端
完成欧盟工作负载的最终切换。若仍保留中国大陆专属工作负载，则将阿里云账户范围缩减至仅限中国大陆工作负载。更新面向欧盟客户的 DPA，以反映新的处理方列表。
阿里云迁移到欧盟的成本对比比美国迁移的情况差异更大。对于纯计算资源，欧盟主权技术栈具有竞争力甚至更便宜。对于阿里云特有的托管服务（大规模 PolarDB、Tablestore），迁移可能并非出于成本考虑，而是出于合规考虑。最有力的理由是监管层面的：因 PRC 供应商未采取充分的 Schrems II 式保障措施而遭受的 GDPR 罚款，其代价可能远超任何基础设施成本差异。