1. 项目准备与需求梳理
1.1 明确需求：明确业务量（最大并发、带宽峰值）、合规（数据主权、LGPD）、备份/RTO/RPO、SLA 要求与预算。
1.2 列清单：列出必须组件（跳板机、VPC、子网、实例、负载均衡、数据库、对象存储、备份、监控、WAF/CDN）。
1.3 团队与权限：指定负责人、运维与安全联系人，准备法人/财务信息以便注册企业账号与开具发票（巴西本地税务注意事项）。
2. 选择供应商与区域定位（实际可选项）
2.1 优先级：跨国公司常选AWS（sa-east-1）、Azure（Brazil South）、GCP（southamerica-east1）或本地厂商（UOL、Locaweb、KingHost）。
2.2 评估点：网络延迟测试（从总部到巴西）、本地技术支持、合规证明、跨区复制能力、价格与计费货币。
2.3 实测：使用 ping/traceroute、iperf 或第三方测评服务对比延迟与带宽。
3. 注册企业账号与合规配置
3.1 企业账号：按所选云厂商注册企业账号并完成法人/税号认证，开启多因素认证（MFA）。
3.2 合规设置：开启数据加密默认策略（静态加密、传输加密）、设定数据驻留策略、咨询法务关于LGPD（巴西隐私法）影响。
3.3 账单与权限：创建组织单位（组织/订阅），启用预算告警并使用最小权限原则配置IAM/角色。
4. 设计网络拓扑（VPC/Subnet/路由/安全）
4.1 规划：在巴西区域创建VPC，划分至少3个子网（公有/私有/数据库），跨可用区分布以提高可用性。
4.2 示例（AWS CLI）：创建VPC与子网
aws ec2 create-vpc --cidr-block 10.10.0.0/16 --region sa-east-1
aws ec2 create-subnet --vpc-id vpc-xxx --cidr-block 10.10.1.0/24 --availability-zone sa-east-1a
4.3 路由与NAT：为私有子网配置NAT网关或NAT实例；配置互联网网关供公有子网出站。
4.4 安全组与ACL：创建安全组规则（只开放必要端口如80/443/22给管理网段），启用网络ACL做第二层防护。
5. SSH/身份与密钥管理（实际操作）
5.1 SSH Key：在运维主机生成密钥对并上传到云控制台（或使用AWS KMS/SSM Session Manager替代SSH）。
5.2 IAM策略：创建专用角色供服务使用，限制权限并启用临时凭证（例如AWS STS）。
5.3 跳板机：在公有子网部署单台跳板机，只允许特定IP通过MFA登录，并记录会话日志。
6. 实例与存储部署（操作示例）
6.1 选择镜像：使用企业批准的镜像（Ubuntu/CentOS/Windows），应用基线强化（SSH配置、禁止root密码登录、安装审计agent）。
6.2 创建实例（AWS CLI 示例）：
aws ec2 run-instances --image-id ami-xxx --instance-type t3.large --key-name corp-key --subnet-id subnet-xxx --security-group-ids sg-xxx --region sa-east-1
6.3 存储：使用加密EBS卷并配置IOPS需求；数据库采用托管服务（RDS/Cloud SQL）并启用多可用区部署。
7. 负载均衡、弹性伸缩与会话保持
7.1 配置负载均衡器（建议使用Application Load Balancer/HTTP(S)级别）：将目标组设置为私有子网实例，并在健康检查中使用/health端点。
7.2 弹性伸缩：设定Scaling Policy（基于CPU/请求数/自定义CloudWatch指标），配置最小/最大/期望实例数。
7.3 会话策略：若有会话依赖，使用Redis/Memcached会话共享或开启ALB的sticky session（慎用，优先改造无状态）。
8. DNS、CDN与WAF（性能与安全优化）
8.1 DNS：使用Route53或Cloudflare做权威DNS，配置低TTL用于快速切换。启用地理路由以优化就近访问。
8.2 CDN：部署CDN（CloudFront/Cloudflare）缓存静态内容并在巴西边缘节点缓存，减轻源站流量与延迟。
8.3 WAF与防护：配置WAF规则，防止OWASP TOP10攻击；启用速率限制与IP封堵策略。
9. 监控、日志与告警（运维必做）
9.1 指标监控：部署CloudWatch/Prometheus采集CPU、内存、吞吐、错误率等，并建立仪表盘与SLA看板。
9.2 日志集中：将访问日志、应用日志、审计日志推送到集中日志平台（ELK/CloudWatch Logs/Stackdriver），并设置索引策略与生命周期管理。
9.3 告警与响应：设定告警策略（严重/警告），配置PagerDuty/Slack/电话通知，并预定义响应Runbook。
10. 备份、快照与容灾演练
10.1 备份策略：数据库采用定期快照与事务日志归档，文件对象使用生命周期与跨区复制（CRR）。
10.2 自动化：配置自动快照策略并异地复制快照，脚本化恢复流程并放入版本库，例如：每日快照 + 每小时增量。
10.3 演练：定期做故障演练（单区故障、数据库主备切换、全站瘫痪恢复），记录恢复时间与问题清单，持续改进。
11. 上线前检查与部署自动化
11.1 上线前清单：完成安全扫描（漏洞、依赖）、性能压测（压测至预估峰值+20%）、合规审计与证书配置。
11.2 CI/CD：将镜像构建、基础设施（Terraform/CloudFormation）与部署流水线自动化，使用蓝绿/滚动发布减少风险。
11.3 回滚策略：准备回滚镜像与数据库回滚脚本，确认路由与负载均衡切换能在30分钟内完成。
12. 问与答 1
问：跨国公司在巴西部署云服务，最常见的合规陷阱有哪些？
答：常见陷阱包括忽视LGPD对个人数据处理的要求、未明确数据存放区域导致被动转移、合同中未约定数据处理与安全责任、以及账单与税务合规（本地税种和发票要求）未提前处理。建议与法务和当地税务顾问对接，并在合同中写明数据控制者/处理者责任。
13. 问与答 2
问：如何在巴西区域降低跨大陆延迟并保证总部与巴西站点数据同步？
答：可采用专线互联（AWS Direct Connect/ExpressRoute/Cloud Interconnect）或使用加速器与BGP优化、选择就近CDN节点缓存热点数据；对于数据同步，采用异步复制结合事件驱动设计（CDC）并评估一致性需求，必要时使用二级缓存与最终一致性设计减少阻塞。
14. 问与答 3
问：部署后如何保证运维团队能快速响应巴西时区的问题？
答：建议建立值班制度覆盖巴西高峰时段并设置跨时区交接模板；启用自动化告警分级、运行Runbook与预演；必要时在巴西本地雇佣或外包晨间联络人以缩短响应时间，同时配置24/7的供应商支持套餐。
