备份加密与密钥分离

备份按敏感数据保护：静态加密（KMS 信封加密或加密归档），且加密密钥与备份分开存放与授权，避免一次入侵同时获取备份与解密能力。

加密归档示例（age）

tar -czf - /etc/nginx/ssl | age -r <AGE_PUBKEY> > ssl-backup.tar.gz.age
age -d -i key.txt ssl-backup.tar.gz.age | tar -xz -C /tmp/restore

加密工具与密钥需要版本管理与轮换；长期归档要考虑算法迁移安排。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌