概述
备份若无加密或密钥与数据同处一地，一次存储泄露就等于数据泄露。确认静态与传输均加密、密钥独立保管、限制并可审计备份与密钥的访问、并以样本恢复验证密钥仍有效，可让备份在泄露情形下仍不暴露数据。
关键步骤
- 确认备份静态与传输均已加密。
- 核验密钥与备份数据分离保管。
- 限制谁能读取备份与密钥并审计。
- 恢复样本以确认解密仍有效。
验证
- 样本恢复成功。
- 仅有备份存储无法解密。
- 恢复权限受限且有审计。
- 审计与密钥引用有记录。
决策点
密钥应与备份分离存放，同处一地会抵消加密意义；恢复权限应收敛到经审计的应急角色，广泛的恢复权等同于广泛的数据访问权。
适用范围
本条目围绕「备份加密审计工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
# verify a sample can be decrypted only with the key
aws s3 cp s3://backups/db.dump.enc ./db.enc
aws kms decrypt --ciphertext-blob fileb://db.enc --key-id alias/backup > /dev/null