伊朗袭击后 AWS 中东数据中心丢失客户数据，打破该地区的韧性模式

AWS 已告知客户，在两个受损地点独家存储的数据无法恢复；距离伊朗袭击其基础设施已过去六个多月。这一承认使 AWS 中东数据中心危机从长期中断演变为永久性数据丢失事件。

受影响的基础设施包括整个中东（巴林）区域，以及阿联酋区域内的一个可用区。Amazon Web Services 此前曾敦促客户迁移仍可访问的资源，并从远程备份中恢复不可用的工作负载。

AWS 现表示，对于基础设施不可用前客户尚未迁出的资源，其恢复方案已全部用尽。该公司已提供迁移支持，但尚未给出恢复受影响巴林区域或阿联酋可用区的时间表。

这一转变意义重大，因为云区域的核心卖点正是物理隔离和冗余。客户依然掌控其应用架构，但服务商负责其下方的数据中心建筑、电力系统、网络和存储硬件。

在协同实施的实体攻击导致同一地理战区内多个站点受损之前，这种责任划分一直行之有效。这些袭击暴露出一个传统可用性规划原本未被设计用来承受的风险：针对商业云基础设施的持续军事行动。

对于银行、支付服务、政府机构和软件公司而言，实际教训令人不安。同一区域内的多个可用区，并不等同于该区域之外的独立恢复环境。

AWS 中东数据中心已从受损转为无法恢复

AWS 不再将所有受影响资源描述为延迟恢复或暂时无法访问。部分客户数据如今被认定为无法恢复。

据地区媒体报道及该公司的服务健康通知，AWS 于 9 月 15 日披露了最新评估。工程师此前一直在检查受损设施，试图恢复那些从未复制到其他地方的资源。

该公司表示，无法恢复对仅托管于巴林区域的资源和数据的访问。对于仅限于阿联酋受影响 mec1-az2 可用区内的资源，AWS 也得出了同样结论。

可用区是 AWS 区域内相互隔离的基础设施地点。应用可以将工作负载分布到多个可用区，以降低对单一设施的依赖。

AWS 区域通常至少包含三个可用区。它们之间具有足够的物理距离，但也足够接近，以支持低延迟连接。

这种结构能够防范包括设备故障、供电中断和局部灾害在内的多种故障。但当多个设施面临协同攻击或长期区域性中断时，它并不能保证系统存续。

最初的袭击发生在 3 月 1 日。AWS 表示，两处阿联酋设施遭到直接打击，而附近的一次无人机袭击则对巴林的基础设施造成了实体影响。

袭击造成结构性损坏并中断供电。据该公司更新信息，灭火行动还导致部分设施出现水损。

阿联酋区域的三个可用区中有两个受到严重影响。巴林的一处设施最初受损，但后续袭击和地区局势不稳进一步加剧了中断。

此次中断波及 EC2 计算、S3 存储、Lambda 无服务器函数、DynamoDB 数据库和 AWS Management Console 等核心服务。多家银行和面向消费者的平台报告了服务问题。

由于实体损坏，AWS 最初将恢复描述为一个渐进过程。该公司还建议客户启动灾难恢复计划，并将工作负载迁离受影响区域。

最新结论关闭了仅存在于已毁或无法访问基础设施上的数据恢复路径。AWS Support 仍可为客户迁移至替代区域提供指导。

服务恢复与数据恢复之间的差别至关重要。AWS 最终可以修复或替换建筑，但无法重建没有任何留存副本的客户信息。

这一结果赋予这六个月的时间线不同含义。延迟并不只是拉长的修复窗口，也是对存储介质和基础设施能否被恢复进行的长期调查。

AWS 表示，这项调查现已用尽所有可行方案。因此，其区域恢复通知代表的是对受影响资源的最终技术判断，而非又一次临时性的中断预估。

最初报道将 AWS 描述为引导客户转向其他更安全的基础设施。更为有力且已得到验证的结论是：对于希望恢复运营的受影响客户，迁移已成为必须。

部分阿联酋工作负载仍在运行，整个阿联酋区域也尚未被宣布永久丧失。不过，AWS 仍无法在受损的区域范围内可靠支持正常客户应用。

巴林的情况更为严重。仅托管于当地的资源已不再等待恢复。客户必须从存放在其他地点的副本重建，前提是这些副本确实存在。

协同攻击下，区域冗余为何失效

AWS 设计可用区是为了隔离常规基础设施故障，但此次袭击形成的威胁跨越了这些隔离边界。

云架构通常将故障划分为可控单元。一台服务器故障不应导致整个机架停摆，而一个机架故障也不应使整座设施瘫痪。

可用区将这一逻辑扩展至多处设施。它们采用独立的供电、冷却和网络系统，从而降低单一运营问题波及应用所有副本的概率。

但同一区域内的可用区在地理上仍彼此关联。AWS 表示，它们通常相距不超过 100 公里，因为客户需要它们之间提供高速、私有的网络连接。

这种邻近性带来性能优势，也意味着多个可用区可能同时暴露于同一场冲突、空域、公共事业系统或政治危机之下。

3 月的袭击说明了这一边界。同一轮行动中，阿联酋三个可用区中有两个受损，而巴林的区域基础设施也遭到破坏。

这并非软件部署、配置错误或网络组件故障所引发的常见故障模式，而是实体破坏后接连出现持续安全风险和受限恢复条件。

AWS 承认，即使修复工作持续推进，更广泛的运营环境依然难以预测。这种不确定性可能影响人员进入现场、替换设备、电力恢复和施工进度。

应急人员还面临着恢复云硬件之外的优先事项。火灾、结构不稳定和未爆弹药可能使技术维修转变为安全行动。

业界常将可用区描述为物理隔离。客户可以合理地将这种说法理解为，对设施级灾难的防护。

只有当工作负载分布在得以存续的基础设施上时，这一架构才算按设计发挥作用。它无法保住仅存储在不可访问可用区中的资源。

AWS 在其共同责任模型中说明，公司负责保障底层云基础设施安全，而客户负责保护和配置其在云内运行的内容。灾难恢复横跨这一责任边界。

Amazon 运营实体数据中心和区域服务。客户则决定是否将数据库、备份、应用镜像、加密密钥和身份依赖项复制到其他区域。

袭击并未消除这种责任划分。它们表明，当区域性故障以月而非小时计量时，其后果会变得多么昂贵。

一家公司可能在三个可用区间运行应用，并合理地认为其具备高可用性。但如果所有持久数据仍保留在一个区域内，这种设计依然缺乏地理恢复能力。

跨区域复制通过在另一地理区域维护可用副本来应对这一风险。它可能增加延迟、网络费用、运营复杂性和监管风险。

这些权衡解释了为何组织有时会将数据留在本地。金融机构和公共部门可能面临数据驻留规定，限制客户信息可传输的地点。

低延迟对于支付、交易、通信和交互式服务同样重要。遥远的恢复区域可以维持可用性，但可能降低应用性能。

袭击发生前，一些组织可以将这些成本视为推迟多区域部署的理由。永久性数据丢失改变了这笔账的计算方式。

首次袭击评估指出，损坏造成的是局部而非全球范围的中断。这种有限的影响范围对全球 AWS 网络而言是好事。

但对于唯一资源副本位于受损区域内的客户来说，这并没有多少安慰。全球云规模不会自动带来全球应用韧性。

只有在主区域之外配置副本、备份、凭证、网络路由和恢复流程后，客户才能获得这一能力。服务商无法事后推断或创建这些副本。

核心反转在于云韧性与地理集中之间的矛盾

云将服务器从客户办公室中移走，却没有让这些服务器脱离地理、政治或战争。

AWS 中东数据中心扩大了海湾地区低延迟计算和本地数据存储的可及性。这些优势促使各组织将重要工作负载部署得更靠近区域用户。

袭击颠覆了受影响客户的这一价值主张。曾是合规和性能优势的本地化，如今成了共同的集中风险。

这并不意味着云计算天生比私有基础设施缺乏韧性。很少有单个公司能运营防护更完善的设施，或比超大规模云服务商更快恢复受损硬件。

问题在于，将基础设施规模与工作负载分布混为一谈。AWS 可以运营数百处设施，却不会自动将每位客户的数据分散到这些设施中。

客户决定数据库运行在哪里，也决定其备份是否离开区域，以及应用能否在另一地点启动。

这造成了一个尴尬的承诺与现实冲突。云简化了对冗余基础设施的访问，但客户仍必须构建能够安全使用它的架构。

多可用区部署解决了一类重要问题。当威胁可能波及多处邻近设施时，它们不能替代多区域恢复。

这一差别在 3 月之前便已被理解，但往往显得只是理论问题。云服务中断通常会在工程师修复软件、路由、供电或冷却故障后结束。

实体破坏改变了恢复的上限。无论工程师调查多久，受损的存储设备都可能永远无法恢复。

AWS 事件也表明，备份需要拥有独立的故障边界。存放在同一受影响区域的备份，可能会随着生产工作负载一同消失。

可用于恢复的副本必须能够在受损区域之外访问。同时还需要经过验证的凭证、加密密钥、网络配置和应用依赖项。

仅有数据库副本未必足以恢复服务。团队还需要基础设施定义、容器镜像、软件包、域名控制能力和监控系统。

能够迅速恢复的组织，很可能在遭袭之前就已准备好这些要素。只有本地副本的团队则发现，技术冗余与地理韧性是两种不同的能力。

这份六个月更新将这一缺口置于报道核心。对于无法访问的地点，AWS 并未给出短期内恢复正常运营的承诺。

相反，它正在协助客户迁移至仍可运行的区域。欧洲、美国和亚太地区均被列为此前指南中提及的替代选择。

每种选择都会带来新的限制。欧洲区域的延迟可能低于北美地点，但仍需审查法律及行业特定规则。

迁移应用还会改变网络路径、故障依赖关系和运营流程。客户必须确认，身份、安全和可观测性系统能够在恢复环境中正常运作。

他们还必须决定迁移是否只是临时措施。在海湾地区重建可恢复低延迟和数据主权优势，但也会重新引入相同的地缘政治风险敞口。

因此，这起事件的意义不止于灾难恢复的教训。它挑战了一种假设：修复后的云区域会自然恢复此前的战略价值。

客户如今已知道，相关基础设施曾遭到蓄意打击。他们必须判断的不仅是 AWS 能否重建，还包括攻击者是否能够再次发动袭击。

伊朗国家媒体和与军方有关联的消息来源曾在冲突期间将技术基础设施描述为目标范围的一部分。AWS 未证实有关特定设施军事动机的说法。

商业数据中心可能承载数千家彼此无关的客户。将其视为与军事有关联的目标，会把冲突风险转嫁给银行、零售商、物流企业、软件供应商和普通用户。

AWS 的竞争对手也面临相同的底层风险。Microsoft、Google、Oracle 和区域运营商都依赖可识别的设施、电力连接、光纤线路和冷却系统。

在同一地理威胁区域内更换供应商，并不能自动解决问题。竞争云区域可以降低对单一厂商的依赖，却仍可能面临类似的军事风险。

更有力的替代方案是独立的异地恢复能力。这可以涉及另一个 AWS 区域、不同的云服务商、私有基础设施，或三者的组合。

正确的设计取决于监管限制和企业的风险承受能力。此次事件没有提供通用的目的地方案，但它让依赖单一区域部署的做法更难辩护。

地下设施只能解决部分风险

将数据中心置于地下可以降低无人机带来的风险，但经过加固的建筑无法解决云区域周边的所有依赖问题。

对 AWS 的攻击再次引发了围绕海湾地区加固型和地下数据中心的讨论。地下建设能够提供物理屏障，同时也可能带来散热方面的优势。

但这种方案无法迅速替代受损基础设施。开挖、结构加固、通风、排水、消防控制和安全进出管理都提出了复杂的工程要求。

数据中心还消耗极大量的电力。地下计算大厅仍依赖发电设施、变电站、燃料、输电线路和备用电源。

如果攻击者能够破坏供电，就不必进入每一间服务器机房。冗余供电线路有所帮助，但区域冲突可能同时威胁多条线路。

连接性构成另一项限制。云设施依赖陆地光纤、运营商互联和海底电缆路线，这些设施无法全部置于加固结构之内。

冷却系统同样需要外部设备和能源。地下部署可以缓和环境条件，但高密度计算仍会产生必须排出设施的热量。

出入口、通风井、装卸区域和网络线路仍可能成为薄弱点。加固建筑改变了攻击面，却不会让服务免受攻击。

阿联酋还必须权衡建设成本与可用容量。云服务商需要能够随着需求增长而扩展的大型园区，尤其是为了支持人工智能工作负载。

堡垒式设施可能适合部分关键系统。要在地下复制超大规模容量，则需要规模更广泛的建设和基础设施计划。

因此，战略问题并不是地下数据中心是否有用，而是哪些工作负载值得获得额外保护，以及哪些依赖项需要独立防护。

海湾地区的云计算雄心并未消失。政府和科技公司仍将区域计算能力视为人工智能、数字服务和经济多元化的重要基础。

但风险模型已经改变。新项目必须考虑蓄意攻击，而不只是高温、水资源供应、设备故障和意外停机。

一项区域政策分析指出，地下选址是已经在考虑中的方案之一。该分析还提到，距离伊朗更远的地点可能具有吸引力。

距离可以降低对部分武器和战略压力的暴露程度。但在涉及导弹、无人机、代理人力量或基础设施破坏的更大规模冲突中，它无法保证安全。

主动防空系统提供了另一层防护，但商业设施随后将依赖军事保护。这种关系可能进一步模糊民用基础设施与战略基础设施之间的界限。

保险公司和客户也会提出类似问题。服务商可以加固一个站点，但买方仍需要证据证明整个服务能够承受其周边发生的故障。

这些证据应包括电力多样性、网络多样性、维修可达性、跨区域复制和现实的恢复测试。仅凭架构图无法证明战时韧性。

持怀疑态度的观点认为，地下建设可能成为醒目的象征，却无法解决运营集中化问题。如果外部生命线汇聚于少数节点，加固后的服务器仍然脆弱。

AWS 目前也没有公开重建已失去区域容量的时间表。该公司尚未说明替代设施是否会采用地下或大幅加固的设计。

这一缺失并不能证明 AWS 没有计划。出于安全考虑，该公司不太可能公开披露新设施和防御措施的详细信息。

因此，在基础设施路线图变得明确之前，客户就必须作出决策。当 AWS 表示无法恢复专属资源时，等待修复后的巴林区域并不是恢复策略。

最安全的近期假设是，无法访问的数据将持续无法访问。未来设施应被视为新增容量，而不是找回这些已失资源的途径。

三个信号将显示 AWS 能否重建信任

下一场考验不是发布建设公告，而是 AWS 能否提供可恢复的容量、可信的防护，以及让客户回归的理由。

第一个信号是明确的区域恢复计划。客户需要知道 AWS 是否打算重新开放巴林、替换受损的阿联酋容量，或重新设计其海湾地区布局。

一项有用的计划应区分恢复可用服务与替换已失基础设施。它还应说明哪些服务将优先恢复，以及区域依赖关系发生了怎样的变化。

如果 AWS 发布可信的时间表，就表明重建已超越评估阶段。持续沉默则会强化一种判断：迁移是唯一可靠的运营假设。

第二个信号是客户行为。银行、支付公司、公共机构和大型软件平台将通过其部署选择，揭示信任是否正在回归。

即使区域得到修复，如果大型客户将其核心系统留在其他地方，该区域的商业能力仍可能被削弱。一旦团队完成昂贵的迁移，他们可能不愿再迁回。

延迟和数据驻留要求仍可能将工作负载吸引至海湾地区。但客户很可能要求跨区域恢复能力，作为任何回归的前提条件。

这种转变将改变云支出模式。组织将为重复存储、备用计算能力、更广泛的网络和更频繁的恢复测试付费。

小型企业面临的权衡最为艰难。它们受益于区域低延迟，但可能缺乏支撑复杂多区域运营所需的人员和预算。

云服务商可以通过更简单的复制和恢复服务减轻这一负担。但它们无法消除在另一地理区域维持独立容量的成本。

第三个信号是新的海湾设施将如何设计和监管。地下建设、加固电力系统和更广泛的地理分离，将表明物理安全如今正影响云计算规划。

政府也可能修订针对银行业和关键基础设施的韧性要求。这些规定可能要求备份或可运行的恢复环境位于单一国家云区域之外。

这类政策会增强韧性，但也会与数据主权目标产生张力。监管机构需要决定，在何种情况下可用性应优先于严格的地理本地化。

竞争对手将影响这一决策。Microsoft、Google、Oracle 和本地运营商可以通过地理恢复选项和物理风险披露来差异化其产品。

行业不应将 AWS 的损失变成狭隘的供应商比较。任何在活跃冲突区域集中部署基础设施的服务商，都面临相关风险。

多云策略可以降低对单一运营商的依赖，但当两个服务商处于同一威胁区域时，它并无帮助。地理位置仍是核心变量。

后续袭击的卫星证据已经表明，风险并未随着最初三月事件而结束。后续站点损坏削弱了将最初袭击视为孤立事件的理由。

这段历史应影响客户对未来恢复公告的解读。重新开放的设施意味着可运营容量，而不是周边威胁已经消失的证明。

对于技术负责人而言，眼下行动是梳理所有仅存在于单一区域内的依赖项。这份清单应包括数据、密钥、身份系统、部署工具和供应商集成。

随后，团队应测试能否在不依赖故障区域协助的情况下，在其他地点重建。若恢复计划需要访问无法访问的基础设施，它就不是独立的。

业务负责人还需要界定可接受的数据丢失和停机时间。这些目标决定备份是否足够，还是必须建立持续运行的次级环境。

AWS 中东数据中心危机使其后果变得格外清晰。区域冗余保障了部分服务，但无法恢复那些仅存于被摧毁基础设施中的信息。

未来三个月，外界将更密切关注 AWS 的重建计划、客户迁移决策以及海湾地区的基础设施政策。这些信号将共同表明，区域云服务信心能否恢复。

各组织不应等到结论明朗后才测试自己的系统。你最重要的工作负载能否在当前区域之外重启，同时确保其数据和依赖关系完好无损？