一、三种自我安慰，先说清
1、“我有快照”
快照通常与源卷在同一存储系统内，生命周期也绑在实例上。实例被删、磁盘被初始化、账号被入侵，快照跟着一起走。它能防误删文件、防升级失败回退，但防不了区域性故障和人为破坏。
2、“备份任务显示成功”
任务成功只说明 “写完了”，不说明 “写得对”。文件被加密、被截断、权限错乱，任务照样显示成功。唯一有效的验证，是把它恢复出来、跑起来。
3、“云上有副本，不会丢”
副本解决的是硬件故障，解决不了逻辑错误。误删库、错误脚本、勒索加密，这些操作会实时同步到副本上。高可用保证的是 “一直有数据”，不是 “数据是对的”。
二、云服务器五种备份手段，边界各不相同
1、快照
快、近、恢复快。适合变更前打个保险，适合误操作后的快速回滚。不适合当作唯一备份。
2、定期备份
文件级或块级，写到独立存储。可以保留多个时间点，可以离线，也可以跨区域。恢复慢一些，但留存能力和独立性更强。
3、自定义镜像
把系统盘、运行环境、配置一起封成模板。重建一台机器只需要几分钟到几十分钟，适合批量部署和灾难后重建。
4、异地或跨区域副本
应对区域性的机房故障、自然灾害。注意它解决的是 “整片区域出问题” 的场景，对单机逻辑错误没用。
5、离线或冷备
定期导出一份，放在与生产网络隔离的地方，介质离线保存。这一层专门用来对付勒索软件和内部人员误删，因为攻击者够不到它。
三、先把两个数字定下来
1、RPO：能接受丢多少数据
丢一小时和丢一天，方案的成本差得很远。先问业务，再问技术。
2、RTO：能接受停多久
停两小时和停两天，决定了你要热备、温备还是冷备。
3、顺序不能反
先有这两个数字，再选手段。反过来做，容易变成 “买了最贵的方案，却还是满足不了业务”。
四、一套能落地的组合
1、日常
自动快照按小时或按天开，保留几天，覆盖误操作和短时回滚。同时每天做一次独立备份，写到与生产分离的存储。
2、周期
每周或每月一次完整备份，异地留存，保留几个版本。版本数量按业务重要度和存储成本平衡。
3、变更前
上线、改配置、升内核之前手动打一个快照，写明用途。这是最便宜的一次性保险。
4、配置层面
把关键配置用代码管理起来，机器可以随时重建。配置即代码，比 “这台机器很特殊，不能动” 可靠得多。
5、离线
重要数据定期导出一份到线下介质或独立账号，物理或逻辑上与生产隔离。
五、最容易漏的一步：演练
1、抽真实的业务恢复一次
不是恢复一个空库，是恢复一套能跑起来的环境。三个月到半年做一次，规模可以小，动作要完整。
2、记时间
从决定恢复到业务可用，用了多久。这个数字才是真实的 RTO，跟文档上写的不一定一致。
3、查权限
谁能删备份、谁能改保留策略、谁能拿到密钥。权限设计比技术方案更容易被忽略，也更容易被利用。
4、防勒索的几条硬要求
备份存储与生产网络隔离、备份账号最小权限、保留策略不可被轻易修改、保留至少一份不可变或离线的副本。勒索软件的第一目标往往就是备份。
