PACIFIC 平台：在 Catena-X 数据空间上构建多租户、主权的 PCF 交换

概述

PACIFIC 是由 BASF 与 CircularTree 共同开发的一款基于 AWS 的产品，旨在解决汽车供应链中产品碳足迹数据交换的复杂挑战。该平台作为一个多租户 SaaS 解决方案，允许公司在保持数据主权的前提下，安全、可靠地管理和交换碳排放数据。在可持续性成为运营硬性要求的今天，PACIFIC 通过自动化数据交换流程，显著减少了人工操作，确保了数据的可信度，并为在碳意识市场中提升竞争力提供了可衡量的环境影响。从 SRE 的视角看，PACIFIC 的架构设计体现了在构建复杂、跨组织边界的数据交换平台时，如何将可靠性、安全性、可扩展性和数据主权原则深度融入平台工程实践中。

核心概念

理解 PACIFIC 的架构需要把握几个关键概念。数据主权 指每个公司对其数据拥有完全的控制权，即使数据被共享或存储在共享基础设施上。多租户架构 意味着多个组织（租户）共享同一套应用程序实例和基础设施，但必须实现严格的逻辑隔离，以防止数据泄露。在汽车行业的 Catena-X 数据空间中，这种隔离至关重要。Eclipse Dataspace Components (EDC) 是用于实现跨公司、合规数据交换的标准连接器。PACIFIC 使用 EDC 连接器作为公司间数据共享的通道，并在共享前强制执行策略协商。Catena-X 数字孪生注册表 (DTR) 是管理供应链中实体（如产品、设备）数字标识的核心服务。PACIFIC 集成 DTR 以确保碳足迹数据能够与正确的产品数字孪生相关联。

实践

架构与部署

PACIFIC 采用基于微服务的无服务器架构部署在 AWS 上。核心计算层使用 Amazon Elastic Container Service (Amazon ECS) on AWS Fargate，这消除了管理服务器基础设施的负担，实现了自动扩缩容。主要微服务包括 core-modules（核心平台功能）、integration-module（供应商系统集成）、pcf-exchange-module（安全数据交换端点）和 edc-dtr-module（Catena-X 互操作性）。流量通过 AWS WAF 和 Application Load Balancer 进入 VPC 内的应用程序。

基于 IAM 的租户隔离

这是实现数据主权的关键实践。平台不为每个租户创建独立的 AWS 账户，而是采用细粒度的 IAM 隔离模型：

新公司入驻时，PACIFIC 自动为其预配置一个专用的 AWS IAM 角色，其策略仅允许访问该公司的 AWS Secrets Manager 密钥。
用户被分配到与其公司关联的 Amazon Cognito 用户池组。
用户认证时，Cognito 身份池将用户组映射到对应的 IAM 角色，并通过 AWS Security Token Service (STS) 签发临时凭证。
这些临时凭证仅能检索其所属公司的 EDC 密钥，其他租户的配置在 IAM 策略层面被明确拒绝。这种架构利用原生 AWS 身份服务，在不增加管理每个客户专用账户或 VPC 的开销下，实现了真正的多租户隔离。

通过 EDC 授权令牌保障数据交换安全

数据交换层的安全通过 pcf-exchange-module 和 OAuth2 令牌机制实现。其流程如原文图2所示：

消费方的 EDC 连接器向供应方的 EDC 发送 PCF 数据请求。
两个 EDC 连接器进行策略协商，就数据使用条款达成一致。
协商成功后，供应方的 EDC 基于存储在其内部的 Cognito 应用客户端凭证，签发一个特定的 OAuth2 授权令牌。
消费方使用该令牌调用供应方在 PACIFIC 中专属的 pcf-exchange-module 端点。
该端点验证令牌的有效性（由 supplier-oauth2-client 组件执行），仅当令牌与供应方公司匹配且通过 EDC 握手流程签发时，才授权数据传输。此设计在 EDC 策略协商和基于公司的 OAuth2 令牌验证两个层面实施了授权控制，确保 PCF 数据仅在明确同意后传输给特定的贸易伙伴。

集成供应商 PCF 系统

integration-module 作为灵活的集成层，负责从供应商内部系统（如 BASF 的 PCF 服务）摄取数据。该模块：

处理多样化的认证流程（OAuth2 客户端凭证、证书认证、API 密钥等），所有凭据均安全存储在 AWS Secrets Manager 中。
期望接收到的 PCF 数据已符合标准化的 Catena-X PCF JSON 格式，在入口点确保数据一致性。
将接收的数据存储在按公司前缀划分的 Amazon S3 存储桶中，IAM 策略确保只有数据所有者才能访问其数据。这种设计解耦了供应商系统集成与下游的数据共享工作流，使得新增供应商数据源无需影响既有的 Catena-X 交换流程。

SRE 要点

可靠性、可观测性与事件响应

PACIFIC 平台的 SRE 实践集中于保障跨组织数据交换的端到端可靠性与安全性。Fargate 提供了底层计算的可用性，而多租户隔离和授权机制本身是防止数据泄露事件的关键安全控制。由于处理敏感的供应链碳数据，平台的审计日志和监控（虽未在文中详述，但可从架构推断需使用 CloudWatch 等）对于安全事件响应和证明合规性至关重要。任何涉及 EDC 连接器或 Cognito 令牌的故障都可能导致数据交换中断，影响整个供应链的可见性。

最佳实践与反模式

最佳实践包括：

使用托管服务（ECS Fargate, Cognito, Secrets Manager）减少运维负担，专注于应用逻辑。
实施基于身份和策略的细粒度访问控制（IAM），而非依赖网络边界。
解耦组件（集成与交换模块），实现独立演进和故障隔离。
采用标准化数据格式（Catena-X PCF JSON）促进互操作性。

应避免的反模式：

共享超级凭证：绝对不能允许一个租户的临时凭证推测或访问其他租户的资源。
紧耦合集成：将特定供应商的集成逻辑硬编码到核心交换模块中，会降低平台的可扩展性和韧性。
忽视策略即代码：对于 EDC 策略协商和 IAM 策略，应采用声明式、版本化的管理方式，而非手动配置。