归档要保证什么
日志归档是把超出在线留存期的日志转移到成本更低的介质（对象存储、冷存储、磁带）上，同时保证可恢复、可检索、有校验。归档不是简单删除或拷贝：要按合规周期决定保存时长，按月份或设备打包，保留完整性校验信息，并定期做恢复演练，确认几年后仍能读出来。
基本信息
| 介质 | 对象存储、冷存储、磁带等低成本介质 |
|---|---|
| 要求 | 可恢复、可检索、有完整性校验 |
| 策略 | 在线热存、温存、归档三级，时长按合规周期确定 |
| 演练 | 建议每半年做一次恢复验证 |
典型使用场景
- 在线存储压力大：把历史日志转移到低成本介质释放空间
- 合规留存：按等保或行业要求保留数月到数年的日志
- 事件追溯：需要查询数月前记录时从归档恢复
- 介质更换：磁带等介质寿命有限，需定期转存
- 演练验证：确认归档文件可读、可检索
归档策略示例
归档策略示例
# 在线热存 30 天 -> 温存 90 天 -> 归档保存至合规周期
# 归档按月份打包，附校验文件（如 sha256 值）
# 归档索引或清单随数据一起保存，便于定位批次
# 恢复演练：随机抽取一个月份恢复到临时环境
# 记录归档批次、介质位置、操作人与校验值分级留存
| 层级 | 介质 | 用途 |
|---|---|---|
| 热存 | 高速磁盘 | 日常检索与排障 |
| 温存 | 大容量磁盘 | 近期追溯与报表 |
| 归档 | 对象存储或磁带 | 合规要求的长期保存 |
归档格式与工具链要保持稳定：几年后才发现没有工具能读取当初的归档文件，是这类方案最典型的问题。
归档前后要做数据量核对：批次数据量与清理掉的在线数据量对不上，说明有日志在转移过程中丢失或打包失败。