SupDRC-BaaS 产品概述与技术架构
文档版本：v1.7｜编制日期：2026-11-02
1. 产品定位
SupDRC-BaaS 是 SupDRC 产品系列的一种服务形态，由服务提供商（SP）建设和运营平台，租户（Tenant）以订阅形式使用云备份服务。租户可以将生产环境中的工作负载备份至服务提供商的云环境，并在需要时使用云端备份执行恢复。
SupDRC-BaaS 集成 SupDRC_VMware、SupDRC_Huawei_FusionCompute、SupDRC_for_SCP 与 SupDRC_Agent 的原子能力。各模块的兼容范围及功能条件应结合 BaaS 场景核验。
产品可作为客户落实 3-2-1-1-0 备份原则的组成部分。是否满足完整的保护原则，还取决于客户实际选择的数据副本、存储介质、异地部署、离线或不可变保护及恢复验证方案。
架构示意
图 1 产品逻辑架构。逻辑连接不代表网络端口、物理拓扑或部署顺序。
2. 服务角色与职责
2.1 服务提供商
SP 负责部署 BaaS 平台及服务，创建租户账号，并维护账号、云资源和平台。SP 配置云网关、云存储库等基础设施，向租户分配存储库、容量配额及其他订阅资源。
2.2 租户
租户部署 SupDRC 和相应备份模块，使用 SP 提供的连接信息与凭证或证书接入服务。通常由租户自行设置备份策略、保留策略并执行备份和恢复。
2.3 MSP 深度托管
租户启用 MSP 深度托管标识后，授权 SP 管理该租户备份至云端的数据；当租户提出需要时，SP 可使用云端备份数据协助恢复租户本地环境中的工作负载。具体授权操作和技术权限范围应以产品实际支持为准。
2.4 子租户的版本边界
子租户是租户功能和资源的子集。典型场景中，一个公司作为租户，不同部门使用不同子租户；子租户共享租户订阅资源，通过账号实现相互隔离。当前版本仅定义子租户的基本概念，具体功能不属于本版本交付范围。
3. 支持的工作负载
产品支持对 VMware、Huawei FusionCompute 虚拟化平台上的虚拟机，以及 Sangfor 虚拟化 aSV 平台虚拟机进行无代理备份与恢复；也支持常规 Windows、Linux 物理机通过代理进行备份与恢复。具体受支持版本、客户机系统、文件系统及功能组合，应结合对应模块的兼容性资料及实际验证结果确认。
4. 部署与核心组成
SP 侧默认采用 Kubernetes 作为标准部署方式，当前暂不支持其他部署方式。现有一套生产环境部署在 Azure 国际版订阅的 Azure Kubernetes Service（AKS）上；这是一种实际部署实例，不代表所有环境必须使用 AKS。
SP 侧必需部署或配置控制面、云网关、云存储库和 WAN 加速器。组件的具体部署拓扑、依赖、版本和规模以经过确认的实施资料为准。
4.1 云网关和网关池
云网关负责租户侧与 SP 云端之间的通信和数据流量转发，支撑备份数据上云及从云端恢复。网关池轮询分配并支持同池故障切换，不支持跨池切换。单次备份切换后，原网关恢复不触发本次任务回切；后续任务可再次使用恢复的网关。
4.2 云存储库
SP 可准备文件存储、块存储或 S3 兼容对象存储，并将其作为云存储库提供给租户。一个云存储库可以分配给多个租户，一个租户也可以使用多个云存储库；SP 分别为租户在各云存储库中设置容量配额。
多个租户共享云存储库时，各租户只能访问和管理自己的备份数据，不能查看或操作其他租户的数据。MSP 深度托管按租户授权范围处理。
4.3 WAN 加速器
SP 作为服务能力提供方，必须部署 SP 侧 WAN 加速器，为租户提供使用加速的可能。每个租户可根据自身实际情况选择是否部署和启用租户侧 WAN 加速器。
使用 WAN 加速时，加速器必须成对配置：租户侧（数据源所在侧）与 SP 侧（云存储库所在侧）均须有 WAN 加速器，缺一不可。上述位置称谓以备份场景为参照；恢复时数据传输方向相反。
WAN 加速设计覆盖备份和恢复，但根据此前确认，当前版本存在缺陷、尚未完全上线，现阶段建议所有租户暂不启用。组件部署要求与该使用建议应分别理解。
5. 备份与恢复
5.1 备份路径
产品支持两种备份路径：
- 将受保护工作负载直接备份至 SP 云端。
- 先备份到租户本地，再将备份副本传至 SP 云端。
当前版本支持完整备份和增量备份，不支持利用已有备份数据生成合成完整备份。
5.2 恢复路径
租户可使用 SP 云端备份恢复到原位置或其他位置，也可下载备份数据后恢复。VMware、Huawei FusionCompute 和 Agent 模块已有的恢复方式原则上适用于 SP 云存储库场景；各平台、恢复粒度和云端路径的具体组合应按兼容性资料与实际验证结果确认。
租户在某个云存储库中的配额达到 100% 后，虽不能继续向该存储库执行新备份，仍可使用其中已有的备份数据执行恢复。
5.3 保留策略
租户可在备份策略中按天数或还原点数量设置常规保留策略。在没有不可变保护、服务到期保留等其他规则限制时，系统自动清理超过保留期限的备份数据。
当前版本支持按周、月、年设置长期保留完整备份策略，通过单独执行全量备份实现；备份副本不支持长期保留。带长期保留标记的完整备份即使超出常规保留范围，仍保留至长期保留期限结束。
6. 数据保护与验证
租户可在备份策略中选择是否加密。启用时数据在传输前加密，存储端不额外处理。当前版本将备份密钥明文存于元数据，且无密钥轮换机制。
对于文件和块存储，产品提供不可变和离线保护能力；S3 兼容对象存储的相关保护依赖第三方存储厂商能力。离线保护（Air-Gap）通过技术手段使已写入备份数据的存储离线，在需要使用时由人工上线并重新加载。保护策略由租户设置；通常不允许提前删除受保护备份或缩短保护期限，特殊授权处理不在本文档中展开。
产品提供备份完整性校验和人工恢复演练。人工恢复演练为额外收费的增值服务；具体实施条件和服务范围应另行确认。
7. 容量与服务有效期
租户在每个云存储库中的配额分别计算。配额使用率达到 80% 和 90% 时，租户侧和 SP 侧均收到告警；达到 100% 时，停止该租户向对应存储库的新备份，其他仍有可用配额的存储库不受影响。配额使用量按压缩、去重后的实际存储占用计算。
扩容并重新获得可用空间后，后续备份按原策略调度；此前因配额不足而失败的任务不自动重试。SP 的总体资源分配预设 20% 超卖比例，不能将其理解为单个租户可超出自身配额写入。
服务到期后，租户无法继续备份，但已有备份可继续用于恢复。默认数据保留期为自到期日起 30 天，期满后由 SP 人工确认清理。
图 2 从受保护工作负载到云存储库和恢复目标的逻辑流程。
8. 服务交付全流程
8.1 从基础设施到租户使用
图 3 从 SP 资源准备到租户恢复验证的服务流程；连接、备份和恢复应分别验收。
SP 在 Kubernetes 上部署控制面及相关服务，准备网关、存储库和 SP 侧 WAN 加速器。控制面用于组织平台服务，网关承担租户与云端之间的通信与数据流量转发，存储库提供备份数据的存放位置。这些组件的职责不同：控制面可访问，不代表网关数据通路和存储写入均已通过验收。
服务开通时，SP 创建租户，并将存储库、容量配额、接入信息与服务有效期等订阅要素关联。租户部署本地 SupDRC 和所需工作负载模块，使用 SP 发放的身份和连接信息配置云服务。建立连接后，租户核对能使用的存储库，再创建备份作业并验证恢复。此流程将平台资源建设、订阅开通与数据保护实施分开，便于确定每一步的责任主体。
| 阶段 | SP 侧职责 | 租户侧职责 | 交付结果 |
|---|---|---|---|
| 平台准备 | 部署服务，准备网关及存储。 | 提供需要保护的系统和网络条件。 | 平台与资源可用于开通服务。 |
| 订阅开通 | 创建租户、关联资源并交付接入信息。 | 接收凭证并核对订阅范围。 | 租户身份、服务期限和资源分配明确。 |
| 租户接入 | 维护平台和云端连接服务。 | 部署本地组件，配置云服务并测试连接。 | 租户能够识别分配的云存储库。 |
| 保护执行 | 维护云平台、网关及存储可用性。 | 选择对象、制定策略、检查备份结果。 | 形成可供选择的备份还原点。 |
| 恢复与验证 | 维护云端服务，并在授权托管场景提供协助。 | 确认目标、执行恢复并检查业务。 | 恢复数据及业务验收记录。 |
| 日常管理 | 监测平台资源、配额和服务到期状态。 | 关注作业、容量告警及恢复准备。 | 问题处理和容量调整记录。 |
8.2 多租户资源关系
云存储库是一项由 SP 配置的共享资源，但共享资源与共享数据不是同一概念。SP 可以把同一存储库分配给多个租户；每个租户在该库中拥有独立配额，仅访问和管理自己的数据。一个租户也可以取得多个云存储库，分别使用对应库的配额。某个库达到该租户配额上限时，不影响租户使用其他仍有可用配额的库。
服务订阅与租户账号、容量配额、云存储库、网关地址、接入凭证、带宽和有效期相联系。交接时应同时核对这些信息，而不是只记录登录账号。对于深度托管租户，应单独记录授权范围；普通平台维护职责并不等于无条件代替租户执行恢复。
9. 数据保护模型
9.1 将备份能力用于保护原则
3-2-1-1-0 是组织备份保护方案时的参考原则：保留多份数据、使用不同介质、保留异地副本，并结合离线或不可变保护与备份验证。SupDRC-BaaS 提供向 SP 云端保存备份、使用云端数据恢复、不可变或离线保护以及完整性校验等能力。是否满足组织的完整保护目标，需要结合其本地副本、存储类型、云端位置以及验证执行情况综合规划。
直接备份上云和先本地备份再上传副本是两条不同路径。前者直接将工作负载备份到云端，后者先形成本地备份再把副本传到云端。实施时应分别检查数据源、本地备份资源、传输链路和云存储库，不应只凭云端存储资源充足就认定全链路已具备运行条件。
9.2 恢复点与长期保留
常规保留可以按天数或者还原点数量设置。没有其他保护规则限制时，超过常规保留范围的备份数据由系统自动清理。长期保留完整备份按周、月、年配置，系统单独执行全量备份；带长期保留标记的备份保留至长期保留期限结束。备份副本不支持这一长期保留策略。
完整备份与增量备份是当前支持的备份类型；产品不支持差异备份，也不支持以已有备份合成完整备份。规划恢复点时应把备份类型、作业周期、常规保留和长期保留共同考虑，避免把长期保留误解为对所有备份副本自动生效。
9.3 恢复与验证
已有云端备份可以用于原位置恢复、其他位置恢复，或下载备份数据后恢复。选择原位置时，应先确认覆盖范围和业务窗口；选择其他位置时，应核对目标资源和隔离要求。恢复操作完成后还应验证数据、系统启动和业务功能，不应仅以作业状态代替业务验收。
备份完整性校验与恢复演练的目的不同：前者检查备份完整性，后者验证将数据恢复并供业务使用的过程。人工恢复演练属于额外收费的增值服务；使用该服务时应事先约定演练对象、恢复目标、时间窗口和验收责任。
10. 安全与生命周期管理
10.1 密钥、数据加密与通道
租户可以在备份策略中选择加密。启用备份加密时，数据在传输前加密；传输通道加密是单独的可选项，不能因为开启备份加密就推定传输通道也已加密。当前实现将密钥明文存于元数据，且没有密钥轮换机制。实施方应把这一事实纳入安全评估，并保护相关元数据和访问权限。
文件及块存储的不可变与离线保护由产品提供；S3 兼容对象存储的相关保护依赖存储厂商能力。离线保护通过技术手段使写有备份数据的存储离线，需要使用时由人工上线并重新加载。不可变保护限制保护期限内提前删除和缩短期限；配置与日常管理应以适用存储的能力为基础。
10.2 配额、到期与清理
配额按照租户在每个云存储库中的配置分别计算；80% 和 90% 分别告警，达到 100% 停止向该库的新备份，已有备份仍可恢复。容量占用按压缩和去重后的实际存储占用计量。SP 的 20% 超卖是总体资源分配安排，不是允许单个租户超过自身配额写入。
服务到期后不能继续备份，已有备份仍可用于恢复。默认保留期自服务到期日起算 30 天，期满后由 SP 人工确认清理。对于处于保护期限内或离线状态的数据，执行管理操作前应核对保护状态和授权，避免把配额处理、服务到期和存储级保护视作同一个事件。
11. 不同角色如何使用文档
平台实施人员应先阅读技术规格，了解 Kubernetes 部署、节点角色、存储及网关要求，再结合 SP 端安装部署指南完成准备和验收。平台部署属于 SupDRC 产品附带的部署服务，管理员需要在交接中掌握平台、网络和存储负责人，而不应将示例环境中的 IP 或密码当作通用安装参数。
SP 管理员以租户、云网关和云存储库为主要管理对象。创建租户之前，应核对订阅有效期、所分配的存储库及其配额、网关池、带宽和认证方式；创建之后，向租户交付接入信息，并跟踪容量及到期状态。涉及深度托管时，应保留租户授权记录，区别平台维护与代为恢复的职责。
租户管理员以本地受保护对象、备份策略和恢复点为主要管理对象。完成 SP 接入后，应检查自己获得的云存储库和容量，再按业务需求选择直接上云或本地备份后传副本。不同工作负载使用各自的备份模块；在恢复前，应根据对象类型准备恢复目标和必要介质。
安全和业务负责人应共同关注恢复验证。管理员提交恢复任务后，安全负责人关注授权、数据暴露及环境隔离，业务负责人关注数据是否完整、系统是否启动以及应用是否满足业务需求。一次成功的连接测试或备份任务，不能代替这些检查。
12. 关键对象和关系
| 对象 | 说明 | 与其他对象的关系 |
|---|---|---|
| SP 平台 | 服务提供商部署和维护的平台服务。 | 负责租户、云网关与云存储资源的组织和交付。 |
| 租户 | 订阅云备份服务的客户。 | 使用 SP 分配的身份、网关和一个或多个云存储库。 |
| 备份模块 | 针对虚拟化平台或物理机的保护模块。 | 与租户侧 SupDRC 配合，为工作负载生成备份。 |
| 云网关 | 支撑租户与 SP 云端通信及数据转发的组件。 | 可组织在网关池中，按池内规则承担流量。 |
| 云存储库 | 由 SP 基于存储资源提供的云端备份位置。 | 可分配给多个租户；每个租户在每个库中分别配置配额。 |
| 备份作业 | 根据策略保护指定对象的任务。 | 关联对象、目标、调度、备份类型与保留设置。 |
| 还原点 | 可供恢复操作选择的备份时间点。 | 使用时需选择对应对象与合适的恢复目标。 |
| WAN 加速器 | 为广域网备份和恢复提供加速能力的组件。 | SP 侧必须部署，使用时租户侧与 SP 侧必须成对。 |
同一名称在不同层次具有不同含义。例如，云存储库的底层物理空间属于 SP 的资源管理范围；租户配额表示该租户在该库中的使用上限。剩余物理空间充足并不代表每个租户都有可用配额；反过来，逻辑配额尚有余额也不能替代对实际物理容量的监控。
备份策略保留期限、长期保留期限和订阅有效期也应分开管理。备份策略处理恢复点的常规保留；长期保留针对带标记的完整备份；订阅有效期控制服务使用状态。到期后的默认 30 天保留从服务到期日起算，期满后由 SP 人工确认清理。
13. 常见使用场景
本地生产环境向云端保护。 租户在本地部署 SupDRC 和对应模块，接入 SP 云服务后选择云存储库，直接将受保护工作负载备份上云。日常由租户查看作业、还原点和容量告警；需要恢复时选择原位置、其他位置或下载备份后恢复。
先本地保护再传副本。 租户先在本地产生备份，再将备份副本传到 SP 云端，以形成云端副本。运维人员要分别检查本地备份任务和副本任务。长期保留完整备份不适用于备份副本，不能仅根据本地设置推断云端副本具备相同长期保留安排。
服务商协助恢复。 在租户启用 MSP 深度托管并提出恢复需求后，SP 可使用该租户云端备份协助恢复其本地工作负载。执行前双方确认还原点、目标、时间窗口和授权；执行后共同核对数据与业务，并保存脱敏记录。
上述场景均应结合实际订阅范围、目标环境和工作负载模块选择实施方式。服务提供商与租户分别保存各自的运维记录，以便定位任务所属对象和后续维护责任。
日常运行中，双方应保持联系人和沟通渠道有效。发生容量告警、服务到期或恢复请求时，依据记录识别受影响的租户、存储库及业务系统，再由对应责任人处理并确认结果。
各方应定期检查联系人和授权记录，确保需要恢复时能够及时沟通。
14. 架构分层与数据路径
14.1 租户侧
租户侧部署 SupDRC 和受保护工作负载对应的备份模块。虚拟机保护使用对应虚拟化模块；常规 Windows、Linux 物理机通过 Agent 保护。租户侧负责识别需要保护的对象，配置备份或副本任务，选择云存储库，并按策略保留和使用恢复点。
云服务提供商对象记录租户接入 SP 所需的名称、网关地址、端口及认证方式。租户取得 SP 分配的资源后，可通过账号密码凭证或证书建立连接。配置的网关地址是数据服务的接入信息，不能与平台管理入口、受保护虚拟机地址或备份目标名称混用。
租户可根据需要决定是否部署租户侧 WAN 加速器。加速设计覆盖备份和恢复，使用时租户侧与 SP 侧必须成对部署；当前模块存在缺陷，现阶段建议所有租户暂不启用。SP 必须部署 SP 侧组件和租户暂不启用是两个不同层面的要求。
14.2 SP 侧
SP 侧平台以 Kubernetes 为标准部署方式，承载控制面、云网关及其他平台服务，并组织供租户使用的云存储资源。控制面管理平台服务和订阅资源；云网关承担租户侧与云端间的通信与数据流量转发；云存储库提供备份存放位置。三者分工不同，运维时应分别检查控制面、网关数据通路和存储资源。
云网关可按池组织。池内采用轮询并支持故障切换，不支持跨池切换。一次备份任务发生切换后，即使原网关恢复，该次任务也不回切；后续任务可以再次使用已恢复的网关。记录故障时应保留池、网关、租户与任务的对应关系。
14.3 数据路径
直接备份上云时，租户选择受保护对象和 SP 云存储库，按策略执行备份并在云端形成可供选择的还原点。先本地备份再传副本时，先在本地产生备份，然后执行副本任务，将备份副本传至云端。后一条路径应分别检查本地备份结果及云端副本结果。
恢复时，从已有备份选择目标对象和还原点，按支持的恢复方式写回原位置、写入其他位置，或下载备份数据后恢复。数据方向与备份相反；对其他位置恢复，应检查目标计算、存储、网络和身份隔离，避免恢复系统与生产系统冲突。
15. 关键术语
| 术语 | 在产品中的含义 | 运维关注点 |
|---|---|---|
| SP | 建设并运营云备份平台的服务提供商。 | 平台、网关、云存储资源与租户服务维护。 |
| Tenant | 使用 SP 云备份服务的租户。 | 本地模块、策略、接入和恢复目标。 |
| MSP 深度托管 | 租户授权 SP 管理其云端备份数据并在需要时协助恢复的安排。 | 按租户授权范围操作，记录请求与验收。 |
| 云网关 | 支撑租户侧与 SP 云端通信及流量转发的组件。 | 网关池、地址、端口和可用性。 |
| 云存储库 | SP 提供给租户存放备份的云端资源。 | 库类型、实际空间、租户分配与隔离。 |
| 配额 | 租户在指定云存储库中的容量上限。 | 80%、90% 告警与 100% 新备份限制。 |
| 还原点 | 恢复时用于选择数据时间的备份点。 | 对象、时间、所需数据与恢复验证。 |
| 不可变保护 | 约束保护期内提前删除或缩短期限的保护。 | 保护期限、授权与适用存储。 |
| Air-Gap | 使写有备份数据的存储离线，使用时人工上线并重新加载。 | 上线责任人、窗口和恢复操作。 |
| GFS 长期保留 | 按周、月、年保存长期保留完整备份的策略。 | 独立全量执行；备份副本不支持该策略。 |
术语应结合对象层次使用。例如，存储库是备份目的资源，配额是某租户在该库中的使用限制；还原点是可供选择的备份时间，恢复目标是接收数据的机器、卷或路径。名称相似不代表可以互换。
16. 订阅资源与状态
16.1 租户资源分配
SP 创建租户时，关联账号、网关池、存储库、配额、服务有效期以及带宽、最大并发任务等订阅信息。一个租户可以获得多个云存储库，SP 对每个库分别设置该租户的配额；同一云存储库也可分配给多个租户。共享库不意味着租户之间共享访问权限，各租户只管理自己的备份数据。
在容量达到 80% 和 90% 时，租户侧与 SP 侧收到告警。达到 100% 后，停止该租户向对应库的新备份，该库已有备份仍可恢复；其他库按各自可用配额判断。配额统计按压缩、去重后的实际占用计算。SP 的 20% 预设超卖用于总体资源分配，不代表单租户可以超过自身单库配额。
16.2 服务有效期
有效期用于管理租户服务订阅。到期后，租户不能继续备份，但仍可使用已有备份执行恢复。默认数据保留期自到期日起算 30 天，期满由 SP 人工确认清理。普通备份保留策略、长期保留策略和服务到期保留解决的是不同管理问题，应分别核对。
例如，管理员收到容量告警时应先识别租户和存储库；收到到期提醒时则应核对订阅有效期与责任人。不要因某一库已达配额上限就删除其他库数据，也不要将服务到期理解为数据立即删除。
17. 备份与恢复技术概念
完整备份保存该次完整备份范围内的数据；增量备份保存自既有备份基础上的变化数据。恢复时要选定合适的还原点，并使用恢复所需的备份数据。产品支持完整和增量备份，不支持差异备份，也不支持使用已有备份合成完整备份。直接在底层文件系统删除备份文件会破坏依赖关系，应通过产品管理功能执行备份管理。
常规保留可以按天数或还原点数量设定。长期保留完整备份支持按周、月、年配置，系统单独执行全量备份；带长期保留标记的完整备份保留至长期期限结束。备份副本不支持长期保留，因此先本地备份再传云端副本的场景需要分别核对源作业和目标副本的保留安排。
整机、卷级和文件级恢复的区别在于恢复对象。整机恢复需检查机器启动、系统与业务；卷级恢复需核对目标卷、挂载和卷内数据；文件恢复需核对路径、内容与权限。Huawei FusionCompute 和 Sangfor 虚拟化 aSV 平台虚拟机的单文件处理通过细粒度下载后手动上传，不能写成直接恢复到目标路径。
18. 安全与验收原则
备份加密由租户在策略中选择，启用后数据在传输前加密；传输通道加密可选，两项配置应分开记录。VMware 模块当前的加密实现存在元数据明文密钥、无轮换等安全风险，实施时应保护元数据和系统访问权限，并由安全团队评估。
文件和块存储的不可变及离线保护由产品提供，S3 兼容对象存储的相关保护依赖存储厂商能力。不可变保护限制保护期内提前删除及缩短期限；Air-Gap 需要将已写入数据的存储离线并在使用前人工上线。保护能力的存在不代替受控授权、容量管理或恢复演练。
验收应分为资源、连接、备份与恢复等阶段。资源就绪只说明基础条件满足；连接成功只说明该次连接测试完成；备份完成要检查任务与还原点；恢复完成还应检查文件、系统和业务。人工恢复演练属于额外收费的增值服务，执行范围应事先约定。