日志是有生命周期的数据
应用日志、访问日志、审计事件和调试 trace 的价值与风险不同。审计事件可能需要保留数年并严格访问，调试日志可能只对几天有用。对所有日志采用同一策略，要么成本过高，要么过早删除证据。
lifecycle:
hot: 7d
warm: 30d
cold: 365d
delete_after: 365d归档前脱敏
日志经常包含令牌、cookie 和个人数据。应在摄入或归档前脱敏。把密钥归档一年并不能让它安全，只会延长暴露期。归档应使用与在线索引相同的访问控制，并加密静态数据。
证明策略有效
写入一条带已知时间戳的测试记录，等待或模拟生命周期转换，验证它按预期删除或归档。检查法律保留会阻止删除，且过期数据确实从每个副本和索引中移除。配置了但从未验证的策略只是猜测。
验证保留
预期结果：测试日志在到期后从热存储消失、归档中可查，审计日志在保留期内仍可访问。用查询和存储清单确认，并检查删除任务日志没有错误。