今天在巴黎，我们发布了 Microsoft Sovereign Cloud 的全新功能，为在公共云和私有云中运行最敏感工作负载的组织，以及不断壮大的合作伙伴生态系统，扩展更多选择与控制权。https://t.co/nzVv1m3jUd

以更强的控制力与更多选择，推动数字主权发展 - Microsoft 官方博客

来源：https://blogs.microsoft.com/blog/2026/10/20/advancing-digital-sovereignty-with-greater-control-and-choice/ 在与政府、关键基础设施和受监管行业的领导者交流中，有一个优先事项始终位居首位：让技术为其最重要的系统提供服务，同时保持这些系统所要求的控制权。

随着先进的云和 AI 能力进入公共服务、受监管流程和核心运营，这一挑战变得愈发重要。组织考虑的不仅是数据存储在哪里，还希望了解谁可以访问和操作系统、敏感数字资产如何受到保护、哪些技术依赖最为关键，以及在监管、地缘政治、安全或网络环境发生变化时，关键服务能否持续运行。数字主权应当让组织对其所依赖的技术拥有更强的控制力和安全性，同时持续进行创新。

去年，我们推出了 Microsoft Sovereign Cloud，为客户在应对这些需求时提供更多选择。此后，我们持续将承诺转化为公共云和客户自管环境中的实际功能，同时扩展我们赋能合作伙伴在本地市场满足主权需求的方式。今天，我们将分享这一工作的新阶段。

以工作负载为核心的控制连续体

Microsoft Sovereign Cloud 示意图，展示了三大领域的主权解决方案连续体：Sovereign Public Cloud 针对控制、数据保护和区域需求；Sovereign Private Cloud 针对联网和离线环境中的关键工作负载；以及 Sovereign Partner Ecosystem 提供可信、本地运营的专业化解决方案。(https://blogs.microsoft.com/wp-content/uploads/2026/10/OMB-Digital-Sovereignty-Image-2.jpg)

我们的数字主权方法以工作负载为起点。每个工作负载在数据、运营、技术依赖、业务连续性和风险方面都有不同的需求。Microsoft Sovereign Cloud 旨在让组织更容易为每个工作负载应用适当的控制级别，而无需将所有应用程序强制纳入同一种部署模式。

不同组织的需求差异可能很大。面向公众的数字服务可能受益于公共云的规模和创新速度。支持核心运营的系统可能需要在连接中断时继续在本地运行。处理高度敏感数据的 AI 工作负载可能要求模型、数据和处理全部保留在客户控制的环境中。

Microsoft Sovereign Cloud 正是围绕这种基于工作负载的方式设计的，通过 Sovereign Public Cloud、Sovereign Private Cloud 和 Sovereign Partner Ecosystem 提供管理、控制和选项的连续体系。组织可以为每个工作负载应用适当的控制级别，同时在整个数字资产范围内保持一致的治理和运营方式。Sovereign Public Cloud 为需要更强控制和透明度的工作负载新增了相关能力，同时继续受益于 Azure 的规模和创新能力。

Sovereign Private Cloud 将云能力延伸至客户自管环境，包括联网和离线运营模式。Sovereign Partner Ecosystem 则通过独立运营的环境、专业合作伙伴、与本地相关的专业知识和技术来拓宽这一连续体系，以支持客户的主权需求。

这些并非孤立的落脚点。客户可以在其数字资产范围内将公共云、私有云和合作伙伴能力进行组合，随着运营需求的变化，为不同工作负载应用不同级别的控制。

让 Sovereign Public Cloud 中的控制更加透明可见

对于许多工作负载而言，公共云提供了规模、创新、集成安全和合规性的综合优势。组织可以在应用数据驻留、保密性、操作员访问、策略和业务连续性等额外主权控制的同时，从这些能力中获益。我们在 Sovereign Public Cloud 中的工作让这些控制更容易被理解、应用和证明。

Sovereign Control Panel将在 Microsoft Ignite 上进入公开展览阶段，将这些信号整合到统一的 Azure 门户体验中。它帮助组织了解自身的主权态势，应用和管理控制措施，识别差距和风险，并采取行动加以解决。它还通过帮助客户了解工作负载依赖关系，以及在需要时评估跨运营环境的可迁移性，来支持业务连续性准备。

这种可见性与整个操作员访问生命周期中的控制相辅相成。Just-in-time Access和Customer Lockbox为客户提供对其环境访问的额外控制。对于欧盟（EU）和欧洲自由贸易联盟（EFTA）的客户，我们正在推出Data Guardian，为符合条件的 Microsoft 工程师远程访问范围内的生产系统，增加由可信欧盟合作伙伴提供的欧洲驻地监督。Production Touch Ledger同样在 EU 和 EFTA 分阶段推出，为该访问及其执行的操作创建防篡改记录。

Azure Key Vault 托管硬件安全模块（HSM）已经为客户提供专用的、单一租户的保护，用于控制受支持 Azure 服务所使用的加密密钥。去年，我们承诺将这种控制延伸到 Microsoft 基础设施之外。使用 Azure Managed HSM 的外部密钥管理现已正式发布（GA），允许客户将根加密密钥保存在自有并运营的本地硬件中或通过可信第三方管理。这为需要在 Microsoft 基础设施之外对密钥硬件进行物理控制的工作负载提供了另一种选择。

**Azure 机密计算（Azure confidential computing）**帮助在基于硬件且经过验证的可信执行环境中处理数据时保护受支持的数据。我们也在增加对支撑这种信任的技术的透明度。Azure Confidential Clean Rooms目前处于有限预览阶段，将机密计算应用于经过批准的多方协作场景，允许参与方在分析共享敏感数据的同时，限制底层信息的更广泛暴露。

这些能力共同提供了额外的技术和运营控制措施，可以支持更广泛的数字主权战略，与组织的法律、政策、安全、弹性和业务需求保持一致。

面向韧性与运营独立性进行设计

对于某些工作负载而言，数字主权还意味着在连接性、地缘政治和运营条件不断变化的情况下，维持关键运营。韧性必须从一开始就融入设计，以确保核心工作负载能够在中断中持续运行。

为帮助客户应对此类场景，我们发布了新的主权业务连续性指南和架构模式。这些资源帮助组织将韧性需求转化为可规划、实施和测试的架构，以便在需要之前做好准备。

对于许多工作负载，公共云的规模和地理覆盖范围为跨地域和运营条件的韧性提供了坚实基础。对于需要更强运营独立性的工作负载，Sovereign Private Cloud 将这一连续体延伸至客户自管环境。它支持联网和离线运营模式。将工作负载从联网运营切换到离线运营的能力正在进入公开展览阶段，为组织提供了更大的灵活性，以在连接性和运营要求变化时维持关键服务。

将更多应用生命周期纳入本地控制

运营独立性不仅仅涉及基础设施。越来越多的组织需要其应用程序所依赖的数据、开发工具、模型能力和生产力服务在同一个客户控制的环境中运行。

Sovereign Private Cloud 基于 Azure Local 构建，将 Microsoft 云能力延伸至客户运营和控制的环境中。SQL Server on Azure Local 已针对联网和离线部署正式发布（GA）。DocumentDB和Blob Storage on Azure Local 均正在进入公开展览阶段，为组织在客户控制环境中运行和管理关键数据提供更多选择。

GitHub Enterprise Local将在 Microsoft Ignite 上正式发布（GA），作为 Azure Local 上经过验证的 GitHub Enterprise Server 设备，帮助组织将代码仓库、代码和开发制品保持在本地控制之下。开发者还可以使用 GitHub Copilot 搭配本地托管的模型进行推理，将 AI 辅助开发带到其控制环境内，更接近代码和数据。

本地应用环境正随着Foundry Local不断扩展。在 Ignite 上，Foundry Local 将在 Azure Local 上针对联网和离线运营正式发布（GA），并扩展模型目录，包括 Microsoft、合作伙伴、开放权重和开源模型。本地推理和智能体检索（agentic retrieval）还将使用户能够使用自然语言与本地企业数据进行交互，并获得基于该数据的回答。与Microsoft 365 Local的集成（面向获准客户开放预览版）将此功能扩展到本地运营的 Microsoft SharePoint 和 Exchange 服务器。

Confidential virtual machines on Azure Local 已正式发布（GA），将机密计算能力延伸至客户控制的基础设施。硬件加密的内存和基于硬件的隔离有助于在数据处理过程中保护敏感数据。工作负载证明（workload attestation）在释放敏感数据或密钥之前增加额外的保障。对于受监管、敏感和关键任务型工作负载，这些安全措施提供了另一层保护，同时使组织对数据和应用程序的运行位置拥有更强的控制权。

Azure Local 将支持多租户功能，允许组织在共享底层基础设施的同时，跨多个租户分离资源、治理和管理。这大幅扩展了拥有不同业务部门或安全边界的客户通过 Sovereign Private Cloud 可以实现的能力。多租户还为本地运营商和服务提供商在 Azure Local 基础设施上提供差异化主权云服务创造了新机会。

这些新增功能将更多应用生命周期纳入本地控制，涵盖数据、开发、生产力、AI 和运营。组织可以根据每个工作负载的需求来决定哪些内容在本地运行。

通过合作伙伴拓展连续体系

标题为 “Sovereign Partner Ecosystem” 的图表，副标题为 “National clouds · Software · Services · Platform co-innovation”，展示了 29 家合作伙伴的标志：Accenture、AMD、Armada、Avanade、base-it、Bleu、Cirrus Data、CloudCasa by Catalogic、Cronos Groep、cTelecoms、DataON、Delos Cloud、Dell Technologies、F5、Felo、Fortinet、HPE、Inspark、Intel、Mattermost、Mistral、NVIDIA、Qualidev、Qumulo、RiverMeadow、Rubrik、Supermicro、Tata Consultancy Services (TCS) 和 Veeam。(https://blogs.microsoft.com/wp-content/uploads/2026/10/OMB-Digital-Sovereignty-Image-1.jpg)

应对主权问题日益复杂。监管、安全、运营和业务要求在不同国家、行业和工作负载之间各不相同。组织需要将这些需求转化为在其本地环境中可行的技术和运营模式。满足这些需求通常需要技术、本地运营授权、行业专业知识和专业解决方案的结合。

Sovereign Partner Ecosystem 拓宽了客户应对这些需求的方式。National Partner Clouds（包括法国的 Bleu）为需要不同所有权和运营模式的客户提供独立运营的环境。软件合作伙伴可以通过安全、身份、可观测性、备份与恢复、迁移、数据、网络和应用程序等领域的能力增强 Azure Local 环境。数字主权专业合作伙伴将 Microsoft 技术与本地知识和实施经验相结合。平台联合创新合作伙伴将基础设施选择从数据中心拓展至边缘。

这一生态系统为客户提供灵活度，可以根据每个工作负载的需求，组合技术、运营模式和可信赖的专业知识。

数字主权的新篇章

AI 正在放大技术选择的机遇和影响。随着 AI 系统和智能体与敏感数据、业务流程和关键基础设施进行交互，它们也扩大了组织需要管理的安全考量。组织需要对这些系统的运行位置、可操作它们的人员、它们可以执行的操作，以及在条件变化时关键服务如何持续运行拥有清晰的控制权。

Microsoft Sovereign Cloud 将这些选择整合为跨越公共云、客户自管环境和合作伙伴生态系统的控制连续体。它赋予组织灵活性，为每个工作负载应用适当的控制级别，同时持续从云能力和不断创新中获益。

我们将继续拓展这一连续体，使组织能够在利用云和 AI 进行创新的同时，保持其最重要的工作负载所需的控制力、保密性、韧性和运营自主权。

Douglas Phillips 负责 Microsoft 专业云、主权云和私有云的全球工程工作。他负责 Microsoft 的全球战略、产品和运营，将 Microsoft 行业领先解决方案（包括 Azure、我们的自适应云产品组合和 Microsoft 365 协作套件）带给具有额外主权、安全、边缘和合规需求的客户。

了解更多

• Microsoft Sovereign Cloud (https://www.microsoft.com/sovereignty)
• Sovereign Landing Zone 架构指南 (https://aka.ms/sovereign/slz)
• Sovereign Public Cloud 技术社区博客 (https://aka.ms/SovMoment2026Public)
• Sovereign Private Cloud 技术社区博客 (https://aka.ms/SovMoment2026Private)

标签：Azure (https://blogs.microsoft.com/blog/tag/azure/)、Azure Local (https://blogs.microsoft.com/blog/tag/azure-local/)、Foundry Local (https://blogs.microsoft.com/blog/tag/foundry-local/)、Microsoft 365 Local (https://blogs.microsoft.com/blog/tag/microsoft-365-local/)、Microsoft Sovereign Cloud (https://blogs.microsoft.com/blog/tag/microsoft-sovereign-cloud/)、Sovereign Private Cloud (https://blogs.microsoft.com/blog/tag/sovereign-private-cloud/)、Sovereign Public Cloud (https://blogs.microsoft.com/blog/tag/sovereign-public-cloud/)