implementing-immutable-backup-with-restic

# 使用 Restic 实施不可变备份

## 使用场景

- 建立具有密码完整性验证的抗勒索软件备份基础设施
- 实施 3-2-1-1-0 备份策略，其中额外的 1 是不可变副本
- 自动化备份验证工作流，按计划测试还原能力
- 防止备份仓库被已入侵的管理员账户删除或修改
- 满足使用防篡改存储的数据保留合规要求

**不要**将其用作唯一的备份解决方案，而不维护离线/气隙隔离的副本。对象锁定防止逻辑删除，但不防止物理存储故障。

## 前置条件

- 已安装 restic 二进制文件（https://restic.readthedocs.io/）
- 启用了对象锁定的 S3 兼容存储（AWS S3、MinIO、Backblaze B2）
- Python 3.8+ 及 subprocess 模块
- 已配置桶访问的 AWS CLI 或 MinIO 客户端（mc）
- 用于备份仓库的足够存储空间（通常为源数据的 2-3 倍，经去重后）

## 工作流程

### 步骤一：使用加密初始化 Restic 仓库

在启用了对象锁定的 S3 兼容存储上创建加密的 restic 仓库。Restic 使用 AES-256-CTR 加密，配合 Poly1305-AES 进行认证，确保备份数据既保密又防篡改。

### 步骤二：配置对象锁定保留

在备份桶上以合规模式（Compliance Mode）启用 S3 Object Lock，防止任何主体（包括 root）在保留期内删除或修改对象。将保留期设置为符合备份窗口要求（通常 30-90 天）。

### 步骤三：自动化备份和验证

使用 `restic check --read-data` 安排备份操作并进行备份后完整性验证，该命令下载并验证每个数据块的存储校验和。记录结果并对任何完整性失败发出告警。

### 步骤四：测试还原流程

定期从备份快照还原随机文件到临时位置，并与原始文件的校验和进行比对，以验证端到端备份完整性。记录还原时间用于 RTO 规划。

## 核心概念

| 术语 | 定义 |
|------|------------|
| **Object Lock** | 防止在指定保留期内删除或覆盖对象的 S3 功能 |
| **合规模式** | 即使是 root 账户在保留期到期前也无法删除对象的对象锁定模式 |
| **去重** | Restic 以内容寻址块存储数据，在所有快照间进行去重 |
| **3-2-1-1-0** | 3 份副本、2 种媒体类型、1 份异地、1 份不可变、0 个验证错误 |

## 工具与系统

- **restic**：具有内置加密和去重的快速、安全、跨平台备份工具
- **resticpy**：restic CLI 操作的 Python 封装
- **AWS S3 Object Lock**：用于防篡改备份保留的 WORM 存储
- **MinIO**：支持 Object Lock 的自托管 S3 兼容存储

## 输出格式

```
备份验证报告
===========================
仓库：s3:s3.amazonaws.com/company-backups-immutable
快照数：45
总大小：2.3 TiB（去重前 8.7 TiB）
最后备份：2026-03-11T02:00:00Z
完整性检查：通过（所有数据包已验证）
对象锁定：合规模式，90 天保留期
还原测试：通过（15 个文件已验证）
```