题目与范围
企业客户要求欧洲、加拿大和澳大利亚驻留。当前产品使用共享的全球控制面，在一个主区域保存租户数据，把支持诊断发送到全球分析管道，并在两个区域复制备份。销售称三个总合同金额为每年 120 万美元的交易被阻塞。工程估算首个区域固定版本需要两个季度，并会增加长期运营工作。
你需要决定是否投入、承诺什么、哪些数据类别属于范围，以及如何衡量决策。题目考察监管、架构和销售约束下的产品判断；区域选择器本身不等于法律合规。
面试官考察什么
- 是否找出买方和真实任务：采购审批、延迟、合同存储、处理限制还是主权要求。
- 是否区分静态存储、使用中处理、传输、备份、日志、支持访问、子处理者和灾备。
- 是否量化机会成本，并用分阶段实验替代无边界的“全球合规”项目。
InterviewStack 的高级产品题包含受数据驻留和隐私法律约束的多区域发布。云厂商文档给出的承诺更窄：Google 主要把驻留定义为数据静态存储的位置，Microsoft 则说明复制和处理可能遵循不同的地理规则。这些资料支持精确定义产品边界，不能直接推出普遍合规结论。
作答前澄清
- 需要哪种合同措辞？ “存储在加拿大”不同于“仅在加拿大处理”或“绝不从加拿大以外访问”。
- 哪些数据受监管？ 要纳入客户内容、元数据、备份、遥测、日志、支持附件、派生索引和模型提示词，而不只是主表。
- 每个区域有多少客户？ 区分已签需求、采购阻塞和猜测性需求；获取交易阶段、ACV、截止日期和续约风险。
- 区域故障时的可用性目标是什么？ 严格驻留可能与跨区灾备冲突，客户必须选择允许的恢复边界。
30 秒回答
“我不会直接上线通用区域下拉框。我会验证三个被阻塞交易，把每个请求转换成涵盖存储、处理、备份、支持、子处理者和故障转移的合同矩阵。如果已签 ACV 和可复制需求支持投入，我会先用一个区域和窄数据类别试点，并记录可审计的租户归属。产品承诺会明确区域内和排除项。指标包括采购推进、实施成本、事故率、延迟和毛利。区域故障时只能遵循批准的恢复边界或进入只读；不能静默复制到其他区域。”
分步深答
第一步：确认客户问题。
分别访谈安全、法务、采购和技术买方。确认阻塞签约的条款、是否接受已批准的子处理者清单，以及要求覆盖个人数据、全部租户内容还是特定受监管工作负载。按已签管线、截止时间、扩张价值和同类客户的可重复性排序。
第二步：定义驻留合同。
建立数据流清单，记录类别、存储、处理者、区域、保留期和访问路径。矩阵至少区分主存储、复制、备份、内存处理、日志、遥测、支持工具、子处理者和灾备。Google 的定义聚焦静态存储；Microsoft 说明冗余可留在一个地理范围内，而访问地点是另一问题。界面和合同都要暴露这些边界。
第三步：选择最小可行架构。
从注册时的租户到区域绑定和不可变放置策略开始。把读写路由到批准的数据面，让控制面不接触租户内容，并阻断未批准的分析汇。补充区域密钥管理、支持访问审批、备份策略和导出删除路径。所有异步任务、缓存、索引、日志和附件都必须有归属和测试后，才能承诺区域固定。
第四步：量化投入。
估算构建成本、值班负担、重复平台工作、出站流量、区域最低消费、支持培训和故障转移弹性下降。与加权管线价值和留存影响比较。每年 120 万美元的阻塞 ACV 可能值得投入，但要先扣除成交概率、毛利、交付延迟和未来区域需求。
第五步：试点和度量。
选择一个区域和少量设计合作客户。上线门槛包括数据清单、合同签署、备份恢复演练、区域故障演习，以及独立证据证明范围内数据没有进入禁止汇。跟踪采购审批时间、试点转化、延迟、每租户成本、失败任务、驻留违规和恢复时间。
第六步：处理故障和例外。
上线前定义批准的恢复集合。若禁止跨区恢复，就说明可用性代价并提供只读或排队写入。若受监管备份必须留在本区，不要把全球备份服务当作隐形例外。每次破例访问、临时传输和策略变更都要有过期时间、审批、审计记录和客户可见证据。
高质量示范回答
“我会把驻留当作可签约能力，而不是营销标签。先验证三个交易：条款、数据类别、截止时间、ACV，以及同一需求是否可复制到一个细分市场。然后盘点内容、元数据、备份、日志、遥测、支持访问、子处理者和灾备。Google 文档把驻留放在静态存储位置上，Microsoft 则区分地理范围、复制和访问；我们的承诺必须写明支持哪一层。
如果加权管线支撑投入，我会试点一个区域。租户归属不可变，区域数据面拥有范围内内容，异步任务携带区域策略，分析只能收到获准的聚合数据。备份、密钥、支持工具和恢复演练都是上线门槛。指标包括采购转化、毛利、区域成本、p95 延迟、运营事故和未经授权传输的证据。故障时遵循预先约定的恢复边界或只读，绝不静默跨区。”
常见错误
- 把区域数据库等同于驻留 → 日志、备份、支持工具和分析仍可能跨区 → 盘点每条数据流并指定负责人。
- 没有法律范围就承诺“合规” → 存储、处理、访问和司法辖区是不同主张 → 写出明确合同矩阵。
- 根据未筛选需求构建三个区域 → 销售兴趣不等于已承诺需求 → 按已签管线、截止时间和可复制性排序。
- 默认全球故障转移 → 故障时可能违反承诺或可用性目标 → 上线前确定批准的恢复集合。
- 只看成交收入 → 驻留会增加长期成本和运营风险 → 跟踪毛利、事故、证据质量和支持负担。
追问与回答
追问 1：客户要求数据存储在加拿大，但允许美国支持人员访问，如何处理？
在合同和数据流矩阵中分开存储与访问。主数据、复制和备份留在批准的加拿大边界；支持工具只在客户批准时提供从美国发起的最小权限、限时访问。记录人员、目的、字段、时长和过期时间，不要扩大为“仅在加拿大处理”。
追问 2：加拿大区域不可用，客户禁止跨境复制，要故障转移吗？
不能静默转移。按约定的可用性行为执行：使用仍存活区域的只读缓存、带明确持久性警告的排队写入，或接受中断。把跨境灾备作为单独定价并取得同意的选项。复盘应比较中断成本和客户驻留约束，而不是悄悄违约。
追问 3：如何证明遥测没有泄露租户内容？
定义允许的事件模式，拒绝自由文本载荷，在 SDK 和采集边界对字段分类，只采样批准的标识符或聚合值。让包含唯一标记的合成数据经过任务、日志、追踪、分析和支持流程，再在每个汇中查询标记。保存测试结果、策略版本和例外记录，确保可审计。