SupDRC-BaaS 运维维护与故障排查指南
文档版本：v1.7。本文面向服务提供商（SP）及租户运维人员，说明平台巡检、云服务接入、容量管理、备份恢复检查与常见故障处理。
1. 运维职责
SP 负责 BaaS 平台、云网关、云存储库、租户账号和云资源的维护。租户通常负责自身工作负载的备份策略、任务执行和数据恢复。租户启用 MSP 深度托管后，SP 可按照授权管理其云端备份数据，并在租户提出需要时协助恢复租户本地工作负载。
进行故障定位时，先确认问题发生在 SP 平台、租户接入还是受保护工作负载；再确认租户、存储库、任务及发生时间。涉及配置修改、数据删除、服务重启或网络变更时，应先核对影响范围、授权和回退措施。
图 1 平台逻辑关系，可用于区分租户侧、网关和 SP 云存储侧的检查范围。
2. 平台巡检
2.1 SP 平台与网关
SP 侧采用 Kubernetes 部署。巡检时应检查平台节点、工作负载、服务和持久化存储状态，并核对云网关、网关池和云存储库是否按预期配置。界面显示网关已启用，不能单独证明备份数据已成功传输或恢复链路已经验证。
云网关用于租户侧与 SP 云端的通信和数据流量转发。网关池采用轮询，支持同池故障切换，不支持跨池切换。备份任务执行期间，如果原网关故障并切换到同池其他网关，即使原网关在该任务期间恢复，也不会触发该任务回切；后续任务可以再次使用恢复的网关。
2.2 云存储库与租户资源
检查各云存储库的底层容量、租户配额、已用空间和容量增长情况。一个云存储库可以分配给多个租户，一个租户可以被分配多个云存储库；排查时必须同时确认租户和存储库，避免将一个存储库的告警误判为整个租户全部存储库不可用。
SP 总体资源分配预设 20% 超卖比例。超卖不提供物理容量保护机制，底层存储空间耗尽可能导致备份失败，因此需要持续监控实际用量并规划扩容。
2.3 备份任务与还原点
核对备份、备份副本及恢复任务的结果，并检查最近可用还原点。直接上云备份应检查云端备份任务结果；先本地备份再将副本传至云端的场景，应分别检查本地备份与云端副本任务。一个阶段成功，不代表另一个阶段也已完成。
产品提供备份完整性校验。人工恢复演练是额外收费的增值服务；任务成功、完整性校验和恢复演练分别反映不同检查结果。
3. 接入故障排查
3.1 云服务连接失败
先确认受影响租户以及正在使用的云服务提供商配置，检查网关 IP 或 DNS 名称和端口是否与 SP 交付信息一致。使用 DNS 名称时先检查解析；地址正确后检查租户侧到网关的网络连通性和访问策略。
然后核对认证方式及材料：账号密码凭证应属于当前租户；证书应为 SP 生成或导出并交付给当前租户的材料。租户账号过期或被删除时，证书信息会被删除，备份认证将不能通过。涉及账号重置或证书变更时，应按权限和变更流程处理。
3.2 连接成功但资源不符
测试连接后检查租户身份、云存储库和分配空间。若资源列表与订阅交付信息不一致，应由 SP 核对该租户的资源分配及配额。不要根据其他租户的资源配置推断当前租户的权限或容量。
连接测试成功不代表云端备份或恢复已经验收。确认资源后，应按授权在非生产对象上分别执行备份与恢复，并检查恢复后的数据及业务状态。
4. 容量告警与备份停止
4.1 识别受影响范围
记录发生告警的租户、云存储库、当前使用量和分配配额。租户在每个云存储库中的配额分别计算。使用率达到 80% 和 90% 时，租户侧与 SP 侧均收到告警；达到 100% 时，停止该租户向对应存储库的新备份。
一个存储库配额满不会自动停止该租户向其他仍有可用配额的云存储库备份；达到上限的云存储库中已有备份仍可用于恢复。产品告警渠道包括站内信和邮件。
4.2 容量预检查与扩容
备份前，系统会预估当前备份总大小，以未压缩状态的估计值与存储库剩余空间进行检查；空间不足时，终止即将执行的备份。SP 应同时检查底层物理存储容量，不应仅依据逻辑分配配额判断能否继续写入。
扩容后，后续备份按原有策略调度；此前因配额不足而失败的任务不会自动重试。处理容量不足时，不得绕过不可变保护或保留规则，也不要直接删除底层备份文件，以免破坏备份链。
5. 备份与恢复故障排查
图 2 按保护对象、备份、传输、存储与恢复阶段定位问题。
首先确认任务类型、工作负载模块、备份路径和目标存储库。直接上云与本地备份后副本上云应分别检查各自的任务阶段。核对还原点后，检查租户认证、云网关、目标存储和工作负载模块的状态。
恢复前应核对恢复点、目标位置、资源权限和维护窗口。原位置恢复可能覆盖目标数据；恢复到其他位置时应确认目标计算、存储和网络资源，避免恢复系统与生产系统发生网络身份冲突。任务完成后仍需检查数据、系统及业务可用性。
备份策略启用加密时，备份数据在传输之前加密。当前备份密钥明文存于元数据且无轮换；传输加密可选，不应将备份数据加密理解为传输通道默认加密。租户遗失加密口令或密钥时可联系 SP 协助处理。
6. 保留与服务到期
常规备份保留可按天数或还原点数量设置；系统在没有不可变保护、服务到期保留等其他规则限制时，自动清理超过保留期限的备份数据。长期保留完整备份按周、月、年设置；备份副本不支持长期保留。受长期保留标记保护的完整备份继续保留至长期保留期限结束。
商务合约到期后不能继续备份，已有备份仍可用于恢复。默认从到期日起保留 30 天，期满由 SP 人工确认清理。裂隙备份回收站属于另一场景，按指定天数保留后自动删除。进行清理操作前，应区分对象并确认保护状态。
离线保护即 Air-Gap：已写入备份数据的存储通过技术手段离线，需要使用时由人工上线并重新加载。发现存储不可访问时，应先确认是否处于预期离线状态，不要直接将其判断为存储故障。
7. WAN 加速器检查
SP 侧必须部署 WAN 加速器，租户侧按自身需求选择部署和启用。使用 WAN 加速时，租户侧与 SP 侧必须各有一个加速器并配对。当前模块存在缺陷、尚未完全上线，建议所有租户暂不启用。
租户侧 WAN 故障会导致备份失败，任意一侧故障都会影响通信。排查时应确认租户实际是否启用了 WAN 加速，不得将 SP 侧组件已部署等同于租户正在使用加速。
8. 日志与支持信息
日志可通过 SupDRC 前端查询或导出；前端错误以内容形式呈现。向 SP 或技术支持提交问题时，应提供故障时间、租户、工作负载类型、任务阶段、存储库、界面错误内容以及已经完成的检查。
分享日志和截图前，应检查并移除口令、API 密钥、证书私钥和不必要的租户数据。前端页面不显示密码，不代表所有日志或导出文件都不包含敏感信息。
提交问题时还应说明故障是否影响全部租户、单个云存储库或某个工作负载，并记录最近一次成功任务与当前失败任务的时间。若故障发生在变更之后，应提供已批准变更的范围和执行时间，帮助区分接入、网关、容量和工作负载侧的问题。收集信息后按组织规定的安全渠道交付，不在问题描述中直接粘贴密钥。
11. 日常巡检操作
11.1 巡检顺序
SP 运维应分别检查平台服务、云网关池、云存储库、租户订阅和备份任务；租户运维应检查云服务连接、各目标库配额、受保护对象、作业和恢复点。按对象分层检查可以避免将某个租户作业失败直接归因于整个 SP 平台。
- 核对平台及服务是否处于预期运行状态，记录异常对象及开始时间。
- 检查云网关与网关池的状态及关联，核对交付给租户的地址和端口。
- 检查云存储库、底层物理容量及各租户在库中的配额使用情况。
- 核对将要到期和已经到期的租户订阅，联系相应责任人。
- 查看备份任务与告警，识别失败的对象、目标库和时间。
- 检查最近可用还原点，并按批准计划执行完整性校验或恢复验证。
- 记录问题、处理人、措施和复查结果；不要在巡检表中填写明文口令或私钥。
| 巡检对象 | 关注内容 | 应留存的信息 |
|---|---|---|
| 平台 | 组件和服务状态。 | 对象、检查时间、异常现象。 |
| 网关池 | 池及网关关联、同池状态。 | 受影响池、网关和租户。 |
| 云存储库 | 存储类型、物理剩余空间、库状态。 | 存储库及存储责任人。 |
| 租户 | 有效期、认证和单库配额。 | 租户、库和配额使用率。 |
| 备份 | 任务结果、对象和还原点。 | 作业、时间、目标及失败信息。 |
| 恢复 | 测试目标、数据和业务结果。 | 授权、还原点、结果及验收人。 |
11.2 容量处理
租户在单个云存储库中的使用率达到 80% 和 90% 时，租户侧及 SP 侧均收到告警；达到 100% 后，停止该租户向对应库的新备份。首先确认告警属于哪个租户和哪个库，再查看使用量与业务增长。其他库是否可用应按各自配额独立判断，不能根据一个库的使用率推断全部云存储库已满。
SP 总体资源分配预设 20% 超卖，但不具备物理容量保护。扩容前同时核对租户逻辑配额和底层物理空间；处理后检查新配额、实际空间以及后续计划任务。因配额不足而已经失败的任务不会自动重试，应与租户共同检查失败期间的恢复点覆盖。
11.3 有效期检查
将服务有效期与备份策略保留期限分开记录。服务到期后不能继续备份，已有备份仍可恢复；默认从服务到期日起保留 30 天，期满由 SP 人工确认清理。裂隙备份回收站按指定天数保留后自动删除，属于另一场景。处理清理申请时应核对对象、授权及适用保护状态，并保存结果。
12. 连接故障分层排查
12.1 确定受影响范围
首先记录租户名称、接入方式、云服务商名称、网关地址与端口、报错时间以及最近一次成功时间。确认问题是一个租户、一个云存储库还是多个租户共同出现；检查最近是否发生了经批准的网络、账号、证书或服务配置变更。
不要在故障记录中粘贴密码、证书私钥、令牌或完整备份数据。必要的诊断资料按组织的受控渠道交付；与支持人员交流时，描述现象和已验证的结果，而不是直接把某个未经验证的因素写成唯一原因。
12.2 逐层检查
| 层次 | 检查内容 | 结果的含义 |
|---|---|---|
| 地址 | 租户侧填写的网关 IP 或 DNS、端口与 SP 交付信息是否一致。 | 识别目标配置错误。 |
| 名称解析 | 使用 DNS 名称时，租户侧是否能解析交付名称。 | 判断名称解析是否满足连接条件。 |
| 网络路径 | 相关防火墙及网络策略是否允许访问交付的服务。 | 判断连接路径是否具备条件。 |
| 身份认证 | 账号凭证或证书是否属于当前租户，账号是否有效。 | 判断接入身份和认证材料。 |
| 平台资源 | 网关、租户与云存储库的状态及关联。 | 判断服务侧资源是否可用。 |
| 应用任务 | 目标库、作业结果、配额和有效期。 | 判断具体备份任务的执行条件。 |
修正配置前先核对影响范围和变更授权。修正后重新测试连接并核对资源列表；若问题表现为备份失败，还应另行检查具体作业和新还原点。连接测试通过不自动修复此前失败的任务。
12.3 凭证与证书
账号密码凭证和证书是不同的认证方式，排查时先确认当前云服务商配置选择了哪一种。凭证应属于当前租户；证书应为 SP 针对该租户生成或导出的材料。租户账号过期或删除后证书信息会被删除，备份认证不能通过；涉及账号重置和证书变更时应由有权限的人员按流程处理。
认证问题与 MSP 深度托管授权属于不同事项。认证材料有效并不代表 SP 自动获得所有托管权限；代为恢复应核对租户请求、授权范围及业务窗口。
13. 备份失败处理
13.1 收集任务事实
在任务详情查看总体状态和对象级明细，记录作业名称、受保护对象、开始和结束时间、目标存储库、错误信息及最近成功还原点。区分策略保存失败、任务启动失败、备份执行失败和副本任务失败；先本地备份再传副本时，分别查看本地任务及副本任务，不能把本地结果直接当作云端结果。
检查目标库配额、服务有效期和底层空间；检查云网关与租户认证；再结合工作负载模块核对数据源、获取器与目标连接。每次只记录已经观察到的状态及采取的操作，避免为了排查而擅自修改多个不相关配置。
13.2 处理后复核
- 修复经确认的问题后，由有权限的人员检查配置是否已生效。
- 核对原有计划是否继续按策略运行；配额不足时已失败的任务不会自动重试。
- 经业务授权执行必要的备份验证，检查对象级状态与新还原点。
- 根据业务恢复要求判断失败期间是否存在恢复点缺口。
- 如需恢复验证，选择经过授权的目标，并检查恢复数据和业务。
- 保存脱敏任务详情、处理时间、责任人及复核结果。
不要通过直接删除底层全量或增量文件来释放空间；备份数据存在依赖关系，手工删除会影响恢复。容量不足需要按配额、底层存储和保留策略分别处理，并遵守不可变保护等约束。
14. 网关与 WAN 事件
云网关池在池内轮询并支持同池故障切换，不支持跨池切换。发生网关问题时，先定位池和网关，记录受影响的租户、作业及实际切换结果。某次备份切换后，原网关恢复不会触发该次任务回切；后续任务可再次使用恢复的网关。网关恢复与任务成功应分别检查。
SP 侧 WAN 加速器为平台必需组件；使用 WAN 加速时，租户侧和 SP 侧必须成对部署。当前模块存在缺陷，建议租户暂不启用。排查时应先确认该租户是否实际启用了加速，不能仅凭 SP 侧组件存在就将普通备份失败归因为 WAN 加速。租户侧加速器故障会导致备份失败，任意一侧故障影响通信。
15. 恢复事件处置和交接
图 3 恢复请求的授权、执行和验收流程。
收到恢复请求后，先核对请求人、租户、工作负载、还原点、目标和业务窗口。若请求 SP 代为执行，应核对租户授权及 MSP 深度托管约定。原位置恢复涉及覆盖；异地或其他位置恢复要核对目标资源和隔离，避免与生产网络及身份冲突。
若备份位于离线存储，先由相关人员人工上线并重新加载。选择对应工作负载模块支持的恢复方式，执行后检查任务状态、文件或卷内容、系统启动及业务可用性；由业务负责人验收。将恢复目标、时间、还原点和脱敏结果纳入记录，不将真实凭证写入交接文档。
交接给下一位维护人员时，至少交付平台与存储负责人、租户联系人、网关及库清单、容量告警处理流程、服务期限、授权范围和既有事件记录。受控凭证应通过独立安全渠道交接，交接清单只记录保管位置及负责人。
16. 运维问题记录和交接模板
16.1 问题记录
提交运维问题时，先记录现象与影响范围，再列出已执行的检查。问题描述需要让其他人员能够定位对象、时间和层次，而不是只写「备份不正常」。同一事件涉及多个任务时，应分别记录对象和任务结果，避免将一个子任务的状态概括为所有对象的状态。
| 记录项 | 填写内容 | 安全要求 |
|---|---|---|
| 事件时间 | 开始、发现及最近一次成功时间。 | 使用统一时区并标明来源。 |
| 影响对象 | 租户、工作负载、作业、目标库。 | 只提供处理所需的信息。 |
| 连接配置 | 网关地址、端口、认证方式和服务商对象。 | 不提供密码、令牌或私钥。 |
| 容量状态 | 对应库配额使用率与底层空间。 | 明确是租户限制还是物理空间。 |
| 任务结果 | 总任务与对象级明细、错误信息。 | 导出前检查日志中的敏感信息。 |
| 已做检查 | 地址、网络、认证、有效期及服务状态。 | 区分已验证事实和后续处理计划。 |
| 业务影响 | 是否影响新备份、已有恢复点或恢复任务。 | 由业务负责人确认具体影响。 |
故障发生在变更之后时，记录变更范围、实施时间和责任人。时间相关性有助于确定检查顺序，但不能单凭先后顺序就断定唯一原因。未经业务授权，不执行原位置覆盖、删除备份或其他影响数据的操作。
16.2 运维交接
交接时确认接收方具有相应平台、租户与存储管理权限，核对 SP 管理员、租户管理员、网络与存储负责人。移交云网关池、网关地址、存储库及配额、有效期、告警处理方式、任务异常和恢复验证记录。
账号、密码、证书私钥及 API 密钥不放在普通交接表中；使用组织批准的受控渠道移交，并在清单中记录保管位置及责任人。接收方应检查其实际访问权限和联系渠道，不能因为文档中列有地址就推定已经具备可用权限。
17. 典型事件处理路径
17.1 测试连接失败
先核对租户侧填写的云网关 IP 或 DNS 和端口与 SP 交付信息一致。使用 DNS 时，检查租户侧解析结果；再由网络负责人核对路径及防火墙策略。接着检查认证方式、凭证或证书所属租户、账号有效期与网关服务状态。
修正配置后重新测试，并在资源信息中核对租户及云存储库。测试成功后如仍有备份任务失败，继续查看作业、目标库、配额、有效期及工作负载模块，不将连接测试当作完整链路验收。
17.2 本地备份成功、云端副本异常
先确认本地源备份、云端目标库及副本任务是对应对象，再分别查看本地作业和副本任务的时间、状态与错误信息。核对租户连接、目标库配额、服务有效期和底层空间；确认问题范围是单个作业还是多个租户。
处理后检查云端副本任务结果及目标位置的备份数据。若需确认恢复路径，经业务授权选择云端还原点和目标执行恢复。不要以本地备份成功推定云端副本成功，也不要因云端副本异常直接删除本地源备份。
17.3 网关恢复后作业状态不符
确认网关所属池、切换前后状态和任务时间。池内支持故障切换，但不支持跨池切换；单次备份切换后，原网关恢复不会触发该次任务回切。对具体任务检查执行结果与还原点，后续任务可以再次使用恢复的网关。
不要仅凭网关显示在线就认定发生故障期间的作业均已完成。需要补充保护时，与租户核对失败任务、业务窗口与恢复点覆盖，再按授权安排验证。
17.4 恢复任务完成但业务未通过
先记录任务对象、还原点、目标机器或路径及业务检查结果。整机恢复检查系统启动、设备和网络；卷级恢复检查目标卷、挂载与数据；文件恢复检查路径、内容和权限。目标已创建或任务结束只是部分检查结果，不代表应用已恢复。
与业务负责人确认应用状态和业务数据；如发现目标或还原点选择错误，应保留现有证据，重新评估覆盖风险和授权，避免在同一目标上反复写入。