不可变备份是什么
不可变备份利用对象存储的锁定能力或 WORM 介质，让备份在保留期内无法被修改或删除。它针对的是勒索软件与内部误操作这两类威胁：攻击者即使拿到具备写权限的凭证，也无法覆盖或删除已锁定的副本，可恢复性因此不再依赖防御是否成功。
基本信息
| 常见机制 | 对象存储锁定、WORM 磁带、合规留存桶 |
|---|---|
| 效果 | 保留期内对象不可覆盖、不可删除 |
| 写入方式 | 对象锁通常需要支持版本控制的存储桶 |
| 配套要求 | 系统时间准确，锁定到期判断以服务端时间为准 |
两种锁定模式
| 模式 | 行为 | 适用情形 |
|---|---|---|
| GOVERNANCE | 具备特权的账号仍可解除锁定 | 内部防误删、需要留应急通道 |
| COMPLIANCE | 保留期内任何账号都无法删除或缩短期限 | 合规留存、防勒索场景 |
| 法定保留 | 按对象单独设置，与默认策略可并存 | 针对个别数据的调查与诉讼保留 |
上传对象时启用锁定
上传对象时启用锁定
aws s3api put-object \
--bucket my-backup --key db/dump-2026-10-12.sql --body db/dump-2026-10-12.sql \
--object-lock-mode GOVERNANCE \
--object-lock-retain-until-date 2026-11-30T00:00:00Z
# 查看锁定状态
aws s3api get-object-retention --bucket my-backup --key db/dump-2026-10-12.sql落地要点
- 启用锁定前先开启版本控制，多数对象存储的锁定能力依赖版本控制
- 写入路径要统一：绕过加锁接口上传的对象不受保护，容易形成缺口
- 锁定周期要与保留策略一致，避免过早过期或长期占用高价容量
- 备份软件侧要支持直接向锁定桶写入，并正确处理重试与残留对象
- 定期抽查对象的锁定状态与到期时间，确认策略真的生效
GOVERNANCE 模式下具备特权的账号仍可解除锁定；COMPLIANCE 模式在保留期内任何账号都无法删除，启用前需评估误操作与成本影响。
不可变只保护已写入的对象：攻击者仍可删除尚未上传完成的数据源，或在锁定生效前覆盖对象，写入流程本身也要加固。