冗余不等于备份
对象存储的多副本、纠删码与跨区域复制，解决的是硬件故障、节点掉线这类「基础设施失效」。它们无法防止误删、误覆盖、凭据泄露后的批量删除，也无法还原被逻辑污染的数据。备份与容灾设计要分开回答两个问题：数据被错误操作后能否找回（备份），服务在一处不可用时能否继续读写（容灾）。两件事的指标、手段与成本都不同。
基本信息
| 保护对象 | 对象数据、桶配置、策略与生命周期规则 |
|---|---|
| 备份目标 | 可恢复性：误删、误覆盖、逻辑损坏 |
| 容灾目标 | 可用性：站点级故障下的持续读写 |
| 常用指标 | 恢复点目标（RPO）、恢复时间目标（RTO） |
| 常见手段 | 版本控制、对象锁定、跨区域复制、独立副本 |
典型使用场景
- 误删应急：开启版本控制保留历史版本，配合删除标记回滚
- 合规留存：用对象锁定与保留策略固定不可改写的副本
- 站点容灾：跨区域复制让另一地域持有可独立读取的数据
- 逻辑污染回滚：源数据被批量写坏后，从独立备份按时间点恢复
- 迁移过渡期双写：切换期间同时写新旧两处，保留退路
分层保护设计顺序
分层保护设计顺序
# 第 1 层：桶内保护（最快、最便宜）
# 开启版本控制 + 生命周期规则，标记删除而非物理删除
# 第 2 层：不可篡改层（防内部误操作与勒索）
# 对关键前缀启用对象锁定与保留期，保留期内任何主体不可删改
# 第 3 层：异地副本（防站点级故障）
# 跨区域复制到另一地域，副本桶同样开启版本控制
# 第 4 层：独立备份（防凭据泄露与桶级误配置）
# 用独立账号或独立系统定期拉取一份，权限与源桶隔离容灾模式对照
| 模式 | RPO 量级 | 代价 | 适用 |
|---|---|---|---|
| 桶内版本控制 | 接近零 | 存储成本上升，删除变两阶段 | 所有重要桶的默认项 |
| 跨区域复制 | 分钟到小时级 | 带宽与存储成本翻倍 | 需要异地读取或站点容灾 |
| 独立备份拉取 | 按周期（日级） | 需要独立系统与恢复演练 | 防凭据泄露与桶级误删 |
| 双活写入 | 接近零 | 应用改造，需处理冲突 | 对可用性要求极高的核心数据 |
恢复能力只有在演练中才能被证明：定期从备份实际恢复一批对象并校验完整性，否则备份可能早就不可用却无人发现。
复制与版本控制都不能替代权限治理：一旦主账号凭据泄露，攻击者同样可以删除副本侧内容。关键前缀务必使用保留期保护，并把删除权限与日常运维权限拆开。