MongoDB Atlas 资源策略如何强制实施数据主权

MongoDB 在系列文章第四篇中介绍了 Atlas Resource Policies 的两项多云治理策略：Restrict Cloud Hyperscaler 和 Restrict Cloud Hyperscaler Region。前者控制组织内 Atlas 集群可部署在 AWS、Google Cloud 还是 Azure，后者进一步细化到具体区域，例如 aws:us-east-1、azure:westeurope。 这些策略以开源 Cedar 策略语言编写，属于组织级控制，采用 policy as code 方式定义基础设施治理规则。文章给出的示例包括禁止在 Google Cloud 部署集群、要求所有集群只能部署在 Google Cloud、以及将某个敏感 Atlas Project 锁定为仅允许 AWS。 区域策略的示例则包括禁止 aws:us-east-1、一次屏蔽三个不合规区域，以及采用零信任思路只允许预先批准的区域。文章强调策略是主动拦截而非事后检测，不合规配置在创建前就会被阻止。 文中还给出一个金融服务合规案例：一家全球金融公司需要确保客户数据留在符合 GDPR 的区域，同时坚持 AWS 作为主要云厂商。它用一条策略同时限制云厂商为 AWS 并限定 aws:us-east-1 与 aws:us-west-1 两个区域，再配合 IP 访问列表策略禁止通配符访问，最终在后续审计中报告零合规违规，开发团队仍在既定护栏内保留自助能力。 文章列出的收益包括组织级自动执行合规、事前预防、开发者无需等待安全评审即可自助部署，以及策略创建、更新、删除时生成活动日志以提供完整审计能力。