受限环境下数据平台建设的十个关键决策

这是《数据平台手记》期刊的第一篇文章。所谓“受限环境”，指无法访问外网、无法随意拉取依赖、甚至没有公共镜像源可用的内网/离线环境。在这样的土壤里种数据平台，每一步都和教科书不一样。

一、先把“依赖清单”当一等公民#

在外网环境里，pip install / mvn dependency:resolve 是肌肉记忆；在受限环境里，这变成了最昂贵的操作。

• 所有中间件、SDK、构建产物，必须先有可复现的制品仓库（Nexus / Artifactory 内网镜像）。
• 每一份依赖都要记录来源与校验和，建立物料清单（BOM）。
• 禁止从开发机 scp 一个 jar 包就算“部署完成”——这是事故的开始。

二、离线安装包要先于业务交付#

数据平台的交付顺序应当反过来：先交付离线安装介质，再交付业务方案。

例如离线安装 Kubernetes：

1. 准备 images 目录，导出所有镜像并 docker save 成 tar。
2. 准备 rpms 目录，收集所有 rpm 及依赖。
3. 写一个 install.sh，让实施人员只需执行一条命令。

三、镜像仓库是平台的“血管”#

内网 Harbor 一旦挂掉，整个平台都会瘫痪。所以：

• 镜像分层要小而精，基础镜像单独一层，业务镜像频繁变更层独立。
• 定期 harbor gc，并保留最近 N 个版本的回滚位。

四、日志与监控要“自带闭环”#

受限环境往往没有 SaaS 监控可用。一个可行的最小闭环：

五、网络拓扑要画在纸上#

• 明确“管理网 / 数据网 / 业务网”三网分离。
• 所有端口白名单化，提前申请，避免上线当天被安全策略拦下。

六、离线升级路径要留好#

版本升级不是外网的“一键升级”，要提前准备：

• 新旧版本二进制并存验证。
• 回滚演练要有脚本、有文档、有“无网络也能执行”的前提。

七、数据迁移工具链要自研或选型开源#

受限环境下，SaaS 同步工具不可用，建议基于 SeaTunnel / Flink CDC 自建同步链路，并把 Schema 变更纳入版本管理。

八、安全与合规前置#

• 敏感数据脱敏在源头做，而不是在展示层做。
• 审计日志必须本地留存，满足内网合规要求。

九、文档即交付物#

受限环境调试成本极高，一份准确的部署文档价值大于一切。建议：

• 架构图用 Mermaid 内嵌在 Markdown 中，随代码版本管理。
• 每次排障都沉淀为“排障手册”。

十、留一个“逃生舱”#

最后，永远保留一条不依赖任何自动化平台的应急通道：一份纯 shell 的启动脚本、一个可手动执行的 SQL 迁移脚本、一位能进机房的人。

---

以上十个决策，构成了受限环境数据平台建设的骨架。后续文章会逐一展开其中的工程细节。