SupDRC-BaaS 数据保护与安全管理指南

文档版本：v1.7。本文说明 SP 和租户在云备份服务中的授权、数据保护、加密、保留与恢复验证要求。

安全管理应同时覆盖平台访问权限、备份数据和恢复过程，并保留与业务授权相对应的操作记录。

安全负责人应定期复核人员权限和凭证交接记录，人员职责变化时及时调整授权。

1. 安全责任与服务关系

SP 负责平台、云网关、云存储库、租户账号和云资源维护。租户通常负责本环境工作负载的备份策略、恢复操作及保护策略。SP 创建租户并分配资源，不等同于自动取得租户全部数据管理权限。

一个云存储库可以分配给多个租户，一个租户也可以使用多个云存储库。共享云存储库时，租户只能访问和管理自己的备份数据，不能查看或操作其他租户的数据。每个租户在每个云存储库中的配额分别设置。

图 1　租户与 SP 的逻辑关系。安全授权应根据实际租户和工作负载分别管理。

2. 租户接入与授权

租户可选择账号密码凭证或证书接入 SP。证书由 SP 在租户管理中生成或导出，并交付租户上传使用。接入时需核对租户身份、云网关地址、端口和存储库资源；认证材料应通过受控渠道传递和保管。

租户启用 MSP 深度托管标记后，授权 SP 管理该租户备份至云端的数据，并在租户提出需要时使用云端备份协助恢复租户本地工作负载。日常服务接入、资源分配和深度托管授权应分别理解。执行恢复前，应确认申请人、恢复对象、恢复点、目标和覆盖范围。

3. 备份加密与传输保护

租户可在备份策略中选择是否加密。选择加密后，备份数据在传输前加密；存储端不另行对备份数据进行加密处理。传输通道加密是另一项配置，支持选择使用，但不应认为默认开启。

VMware 模块当前实现的备份加密可使用 AES-CTR 或 DES-CTR；密钥由字符串补零或截断生成，未使用 KDF，IV 为全零。当前密钥明文存于元数据且无轮换机制。上述实现存在安全风险，应限制元数据、备份系统和相关日志的访问，并由安全团队结合实际部署评估风险。

加密口令或密钥遗失时，租户可联系 SP 协助处理。与支持人员沟通时应通过受控渠道提供必要信息，不应在普通工单正文、截图或公开文档中记录明文口令、API 密钥或证书私钥。

4. 不可变保护与离线保护

4.1 不可变保护

不可变保护用于在保护期限内限制备份数据被删除或修改。保护策略由租户设置；通常不允许任何人提前删除受保护备份或缩短保护期限。文件存储和块存储的不可变保护由产品提供。

S3 兼容对象存储的不可变能力依赖第三方存储自身能力。如果所用 S3 存储不支持不可变，产品不能额外赋予该存储不可变属性。配置前应核对所选存储是否具有所需能力，不应仅凭其支持 S3 接口就认为已具备不可变保护。

4.2 离线保护

离线保护即 Air-Gap：通过技术手段将已经写入备份数据的存储离线，需要使用时由人工上线并重新加载。离线保护与不可变保护是不同机制；启用一种能力不代表另一种能力也已实现。

当备份位于离线存储时，恢复前应先确认相关存储已经按批准流程上线并重新加载。操作完成后，应按服务商制定的管理流程处理存储状态，并记录变更和恢复结果。

5. 保留策略与清理

租户在备份策略中自行设置常规保留，支持按天数或还原点数量设置。在没有不可变保护、服务到期保留等其他规则限制时，系统自动清理超过保留期限的备份数据。不要绕过产品管理界面直接删除底层备份文件；备份链中的文件存在依赖，手工删除可能导致恢复失败。

长期保留完整备份支持按周、月、年设置，当前通过单独执行全量备份实现。备份副本不支持长期保留。带长期保留标记的完整备份即使超过常规保留范围，仍保留到长期保留期限结束。

商务合约到期后，租户不能继续备份，但已有备份仍可用于恢复。默认保留期从到期日起计算 30 天，期满后由 SP 人工确认清理。裂隙备份回收站是不同场景：服务到期后按指定天数保留，随后自动删除。执行数据清理时应先确认数据对象和适用保护状态。

6. 容量与可恢复性

租户在每个云存储库中的配额独立计算。达到配额 80% 和 90% 时，租户侧与 SP 侧收到告警；达到 100% 时，停止该租户向该库的新备份。配额满不会阻止使用该库已有备份进行恢复，也不会停止向其他仍有可用配额的云存储库备份。

SP 总体资源分配预设 20% 超卖，但租户不能超出自身单库存储配额写入。底层物理容量耗尽可能导致备份失败，SP 需要监控实际存储用量并规划扩容。不要以删除受保护数据作为容量不足的默认处理方式。

7. 完整性检查与恢复演练

产品提供备份完整性校验。人工恢复演练属于增值服务，额外收费。完整性校验、备份任务成功与实际恢复演练分别反映不同结果，不能互相替代。

图 2　从备份到恢复验证的逻辑流程。恢复验证应检查数据和业务状态。

安排人工恢复演练时，应确认受保护对象、还原点、恢复目标、业务授权和维护窗口。恢复到原位置可能覆盖当前数据；恢复到其他位置时，应避免恢复系统与生产系统的网络身份冲突。恢复任务完成后，应核对文件、操作系统及业务应用的实际可用性，并保存受控的验证记录。

8. 网络和 WAN 使用边界

SP 侧必须部署 WAN 加速器；租户可根据自身情况选择是否部署和启用租户侧加速器。使用 WAN 加速时，租户侧与 SP 侧必须各有一个加速器并配对。当前模块存在缺陷、尚未完全上线，建议所有租户暂不启用。

故障排查和运维记录中，应避免传播密码、API 密钥、证书私钥或不必要的租户数据。需要修改网络、账号或保护配置时，应按授权和变更流程执行。

9. 管理员检查要点

SP 管理员应定期核对租户服务有效期、各云存储库实际容量及配额分配，并检查容量告警。租户管理员应核对备份策略、最近还原点及保留策略，确认备份目标与订阅资源一致。对于长期保留，应区分常规还原点与带长期保留标记的完整备份，不应将常规保留数量视为长期保留文件的数量上限。

在查看日志或导出诊断资料时，应先明确接收人和使用目的，交付前检查是否包含租户信息、认证材料或可用于访问系统的密钥。需要开展恢复验证时，选择经过授权的目标，并记录还原点、恢复方式、任务结果和业务核对结果。以上检查属于运维管理措施，不能替代系统的不可变保护、离线保护或恢复演练。

9. 保护目标与责任划分

数据保护需要同时覆盖生产数据、备份数据以及恢复操作本身。生产系统由业务方确定保护对象、恢复目标和业务窗口；租户备份管理员负责配置策略、查看任务并保存恢复验证结果；SP 负责平台、云网关和云存储资源的维护。在租户启用 MSP 深度托管并提出需求时，SP 可按授权协助管理云端备份并恢复租户本地工作负载。

环节	主要管理对象	安全控制重点
接入	租户身份、网关、凭证或证书。	安全交付认证材料，区分各租户身份。
策略	备份对象、目标库、保留和加密选择。	由授权人员设置并复核影响。
传输	租户侧与 SP 侧的数据通路。	备份数据加密与传输通道加密分别检查。
存储	云存储库、配额、不可变及离线保护。	保护访问权限并核对底层存储能力。
恢复	还原点、目标位置、任务与业务数据。	确认授权、覆盖范围和恢复后验收。
生命周期	常规保留、长期保留、服务期限。	区分各项期限及清理条件。

同一项业务可以同时涉及这些环节。例如，将 VMware 虚拟机备份至 SP 云存储库时，租户应核对受保护对象、作业策略及还原点；SP 应维护网关与目标库的可用性；恢复时还需由业务方确认目标和验收结果。任何单独一项安全设置都不替代完整的责任分工。

10. 接入身份与权限管理

10.1 认证和授权

认证用于识别接入主体，授权决定主体被允许执行的操作。租户可以选择账号密码凭证或证书接入云服务提供商；证书由 SP 生成或导出并安全交付。认证材料应与对应租户关联，不能将某租户的凭证用于其他租户的接入测试。

MSP 深度托管是另外一项授权安排。租户启用 MSP 深度托管标识后，授权 SP 管理其云端备份数据，并在租户提出需要时协助恢复租户本地工作负载。实施人员应留存授权对象、责任人和约定范围；正常情况下，租户自行创建策略并执行备份与恢复。

10.2 凭证与证书操作

1. 确定需要接入的租户和云网关，由 SP 通过受控渠道交付账号密码或证书。
2. 接收方核对材料所属租户，在租户侧创建凭证或选择证书文件，并填写 SP 提供的网关地址和端口。
3. 执行连接测试，在资源信息中核对显示的租户及云存储库；确认无误后保存配置。
4. 按组织要求管理凭证和证书的访问权限，不在普通工单、截图或公开文档中保存明文口令和私钥。
5. 人员或账号发生变化时，按已批准的变更流程核对受影响的连接与任务。租户账号过期或删除时，证书信息会被删除，备份认证不能通过。

连接测试验证的是当次连接配置，不证明所有备份对象均已纳入保护，也不证明恢复可用。身份管理完成后，还应检查策略目标、执行结果、还原点和恢复验证。

11. 备份加密与传输通道

11.1 两类加密的区别

租户可在备份策略中选择是否进行备份数据加密；启用时，数据在传输前加密，存储端不再额外处理。传输通道加密是另一个可选配置，不能因为选择了备份加密就推定通道默认加密。实施记录应分别说明这两项选择，不用一个笼统的「已加密」替代。

检查项	保护对象	记录方式
备份加密	待备份数据在传输前的加密处理。	记录策略中是否启用及适用对象。
传输通道加密	租户与云端通信的传输通道。	记录是否启用及实施方案。
认证材料	接入账号、密码或证书。	记录责任人及受控保管位置，不记录明文。
元数据访问	备份元数据及相关系统权限。	限制授权人员访问并纳入安全评估。

VMware 模块当前的备份加密实现可使用 AES-CTR 或 DES-CTR，密钥由字符串补零或截断生成、未使用 KDF，IV 为全零；密钥以明文形式保存在元数据中且无轮换。该实现应由安全团队结合实际部署评估，尤其要限制元数据、备份系统和相关日志的访问。不能将上述算法名称直接等同于安全合规结论。

11.2 日常检查

创建策略时核对保护对象、备份加密选择和负责人员；提交前检查目标存储库及访问范围。维护人员变更通道安全配置时，应按环境变更要求核对目标、访问路径和业务影响。备份完成后，通过授权流程检查备份结果与恢复能力，避免在诊断资料中传播认证材料。

12. 不可变保护与离线保护

12.1 机制和责任

不可变保护约束受保护备份在保护期限内提前删除或缩短保护期限。离线保护通过技术手段使写有备份数据的存储离线，在需要使用时由人工上线并重新加载。不可变保护控制修改与删除，离线保护控制存储的在线状态；两者不能互相替代。

文件和块存储的不可变及离线保护由产品提供；S3 兼容对象存储的相关保护依赖第三方存储厂商的能力。SP 应维护底层存储并向租户说明可使用的资源；租户按需要在适用的保护策略中进行设置。操作人员应先核对存储类型与保护状态，再执行配置或恢复。

12.2 配置和验证检查表

1. 确认受保护对象、目标存储库、存储类型和责任人，检查订阅与容量。
2. 根据业务保留要求设置备份策略及适用保护条件，并核对保护期限。
3. 记录何时由谁负责存储上线、恢复窗口及审批；Air-Gap 数据恢复前需由相关人员人工上线并重新加载。
4. 在授权范围内检查备份结果和恢复点，通过完整性校验与恢复演练分别形成记录。
5. 涉及清理、缩短期限或更换存储时，先核对适用保护状态，不得绕过产品管理直接删除底层备份文件。

13. 生命周期与恢复验证

13.1 常规、长期和到期保留

常规保留由租户选择按天数或还原点数量设置；没有不可变保护、服务到期保留等其他规则限制时，系统自动清理超出常规保留范围的备份。长期保留完整备份按周、月、年配置，通过单独执行全量备份实现；备份副本不支持长期保留。带长期标记的完整备份保留到相应长期保留期限结束。

服务到期后不能继续备份，已有备份仍可恢复。默认保留期从服务到期日起算 30 天，期满由 SP 人工确认清理。裂隙备份回收站按指定天数保留后自动删除，是另一场景。实施人员应分别核对订阅、备份策略和保护状态，不将到期、超出常规保留与人工清理当作同一事件。

13.2 恢复验证流程

图 3　恢复过程中的授权、目标、数据和业务验证环节。

1. 与业务负责人确认恢复对象、所选还原点、目标位置和时间窗口，确定是否涉及覆盖。
2. 核对租户身份、云网关、目标存储库、恢复权限以及所需计算、存储和网络条件。
3. 原位置恢复前确认覆盖授权；其他位置恢复应避免与生产系统的网络或身份冲突。
4. 根据工作负载模块执行恢复并查看任务结果，记录还原点、目标及执行人员。
5. 检查文件、卷或整机数据；整机恢复后进一步检查系统启动、网络和业务应用。
6. 由业务负责人确认结果，保存脱敏证据。人工恢复演练作为额外收费的增值服务，应事先约定范围与责任。

完整性校验与人工恢复演练关注不同环节。完整性校验用于检查备份；恢复演练检查从选择还原点到目标数据和业务验证的过程。一次连接成功、一次备份成功和一次恢复演练结果应分开记录。

14. 保护方案设计示例

14.1 直接云备份

直接云备份将受保护工作负载的备份保存至 SP 云存储库。设计时先确定对象所属平台及模块，再核对租户身份、网关、目标库、库内配额及有效期。备份策略应体现执行计划、常规保留方式与是否需要长期保留完整备份。

安全负责人应分别记录备份加密与传输通道加密的选择；存储负责人核对所选库的类型和保护能力；业务负责人确认恢复目标和窗口。执行后检查作业、还原点及恢复验证，不能只凭库已创建或连接测试通过就认定保护目标已完成。

14.2 本地备份加云端副本

先在租户本地生成备份，再将备份副本传至 SP 云端。此路径需要分别管理本地目标、源备份、云端目标、传输和副本任务。备份副本不支持长期保留，因此本地作业使用长期保留完整备份时，不能推断云端副本已采用相同的长期保留策略。

SP 与租户应分别核对两个位置的容量和访问权限。验证时既检查本地备份任务，也检查云端副本结果；需要验证云端恢复时，从云端已有数据选择还原点并使用经授权的目标执行恢复。

14.3 云端不可变或离线保护

选择文件、块或 S3 兼容对象存储之前，确认所需的保护能力由产品还是底层存储提供。对于不可变保护，应确认保护期限和操作权限；对于离线保护，应确认存储上线责任人和恢复窗口。两种机制可以参与保护方案，但不能将其简化为相同状态。

在保护期限内，通常不允许提前删除备份或缩短保护期限。日常容量处理应先检查配额、实际空间和保留策略，不得默认通过删除受保护数据来释放空间。需要恢复离线数据时，先由相关人员人工上线并重新加载，然后检查目标数据和业务。

15. 安全事件处置记录

事件类型	首要动作	需要保留的记录
认证材料泄露或误发	控制传播范围并按组织安全流程处置。	受影响租户、材料类型、时间和责任人；不复制明文。
非预期的恢复请求	核对请求人、租户授权和恢复目标。	审批、工作负载、还原点及窗口。
备份数据不可访问	核对租户连接、网关、库和存储状态。	目标库、错误时间、已检查项目。
配额或物理容量不足	区分租户单库配额与实际存储空间。	告警对象、容量及处理结果。
保护规则相关操作	检查保护状态及相应管理权限。	数据范围、授权、操作结果。

事件记录应陈述已观察到的事实与完成的检查。若原因仍在排查，不应把一种尚未验证的解释写成确定根因；收集的日志、截图和任务信息应经脱敏后通过受控渠道交付。

16. 授权恢复的安全检查

恢复操作可能改变目标数据或使历史数据重新进入业务环境，应同时检查恢复点、恢复目标和操作权限。原位置恢复须与业务负责人确认覆盖范围及窗口；恢复到其他位置应隔离或调整网络身份，避免与生产系统发生冲突。

选择虚拟机整机恢复时，验证机器、系统、网络和应用；选择卷恢复时，先确认目标卷并停止相关访问；选择文件恢复时，确认文件名、路径、权限及覆盖方式。FusionCompute 与 Sangfor 虚拟化 aSV 平台虚拟机的单文件处理需要先下载再手工上传，最终应在目标位置验证。

恢复完成后保留执行人、还原点、目标、任务结果和业务验收信息。人工恢复演练作为额外收费的增值服务，应事先约定测试范围；恢复验证的证据应受控保管，避免暴露不必要的客户数据。