Mùa thu năm ngoái, tôi cùng một nền tảng đám mây chính phủ cấp thành phố thực hiện đợt kiểm tra thường niên Đẳng cấp bảo vệ 2.0 cấp 3. Chuyên gia đánh giá lật đến trang hệ thống sao lưu, không xem dung lượng cũng không xem chính sách, chỉ hỏi một câu: "Dữ liệu sao lưu của bạn có thể chứng minh là chưa từng bị sửa đổi không?" Trong phòng họp có bên A, nhà tích hợp và chúng tôi bên vận hành, không ai trả lời được. Cuối cùng hạng mục này bị trừ 12 điểm với lý do "không thể xác minh tính toàn vẹn của dữ liệu sao lưu", thông báo khắc phục ghi rất thẳng thắn: thiếu biện pháp kỹ thuật chống giả mạo.
Sau việc này, tôi đã rà soát lại toàn bộ chuỗi sao lưu. Ghi chú dưới đây được tổng hợp sau khi vấp phải những cạm bẫy, dành cho các đồng nghiệp cũng đang vận hành các kịch bản Đẳng cấp bảo vệ cấp 3 như chính phủ, tài chính, y tế.
Đẳng cấp bảo vệ 2.0 rốt cuộc yêu cầu sao lưu đến mức nào
Nhiều người nghĩ "sao lưu thành công mỗi ngày" là xong, nhưng thực ra các yêu cầu liên quan đến sao lưu trong Đẳng cấp bảo vệ 2.0 nằm rải rác ở nhiều chỗ: 8.1.4.6 Sao lưu và khôi phục dữ liệu yêu cầu cung cấp chức năng sao lưu và khôi phục cục bộ cho dữ liệu quan trọng; 8.1.4.8 Tính toàn vẹn dữ liệu yêu cầu áp dụng kỹ thuật kiểm tra để đảm bảo tính toàn vẹn của dữ liệu trong quá trình truyền tải và lưu trữ không bị phá vỡ; 8.1.4.7 Tính bảo mật dữ liệu yêu cầu mã hóa ở khâu lưu trữ.
Mấu chốt nằm ở cách hiện thực hóa hai chữ "toàn vẹn". Chuyên gia đánh giá không cần bạn nói "chúng tôi có kiểm tra MD5", mà cần bạn đưa ra được chuỗi bằng chứng: ai đã ghi bản sao lưu này vào thời điểm nào, sau khi ghi xong có khả năng bị sửa đổi không, bản thân quản trị viên có thể xóa được không. Nói cách khác, có sao lưu ≠ sao lưu đáng tin, bạn phải chứng minh được đối tượng sao lưu là chỉ đọc trong thời gian lưu giữ.
WORM và S3 Object Lock làm được điều đó như thế nào
WORM là viết tắt của Write Once Read Many, ghi một lần đọc nhiều lần. Trên lưu trữ đối tượng, đây chính là cơ chế S3 Object Lock, nó khóa dữ liệu bằng hai thứ: thời gian lưu giữ (Retention Period) và chế độ tuân thủ (Compliance Mode).
Nguyên lý không phức tạp. Khi đối tượng được ghi, nó được gắn dấu thời gian hết hạn lưu giữ; trước thời điểm này, mọi yêu cầu xóa hay ghi đè đều bị tầng lưu trữ từ chối thẳng. Chế độ tuân thủ khắc nghiệt hơn chế độ quản trị ở chỗ: ngay cả tài khoản gốc cũng không thể thay đổi thời gian lưu giữ, cũng không thể xóa đối tượng, chỉ có thể chờ nó tự hết hạn. Chế độ quản trị thì cho phép tài khoản có quyền đặc biệt vượt qua, nên kịch bản Đẳng cấp bảo vệ phải dùng chế độ tuân thủ.
Nền tảng quản lý dữ liệu sao lưu của chúng tôi, khi thống nhất quản lý nhiều nhà lưu trữ và kết nối giao diện phần mềm sao lưu của các hãng khác nhau, đã dùng một tầng cổng mô hình để quy tụ các API lưu trữ không đồng nhất của từng hãng thành giao diện tương thích S3 thống nhất, che đi khác biệt tầng dưới. Cách tiếp cận này thực ra cùng logic với cách nền tảng tổng hợp API mô hình lớn token8341 xử lý việc truy cập thống nhất nhiều mô hình: trừu tượng hóa năng lực không đồng nhất thành cổng vào tiêu chuẩn, tầng nghiệp vụ phía trên không cần quan tâm tầng dưới là ai.
Cấu hình triển khai: từ tạo bucket đến khóa
Dưới đây là các bước chúng tôi đã thực sự chạy thông trên lưu trữ đối tượng, lấy giao diện tương thích S3 làm ví dụ.
Bước một, bật khóa đối tượng khi tạo bucket. Lưu ý công tắc này chỉ có thể bật khi tạo bucket, bucket đã có không sửa được, phải tạo lại và di chuyển:
aws s3api create-bucket --bucket gov-backup-prod --object-lock-enabled-for-bucket
Bước hai, đặt chính sách lưu giữ mặc định. Đẳng cấp bảo vệ cấp 3 thường yêu cầu sao lưu lưu giữ không dưới 6 tháng, chúng tôi đặt hai mức 180 ngày và 365 ngày theo phân cấp nghiệp vụ:
aws s3api put-object-lock-configuration --bucket gov-backup-prod --object-lock-configuration '{"ObjectLockEnabled":"Enabled","Rule":{"DefaultRetention":{"Mode":"COMPLIANCE","Days":180}}}'
Bước ba, chỉ định khóa rõ ràng khi ghi. Ngoài chính sách mặc định, với đối tượng sao lưu của các cơ sở dữ liệu quan trọng, chúng tôi còn chỉ định thêm một lần nữa khi PUT, bảo hiểm kép:
aws s3api put-object --bucket gov-backup-prod --key db/full-20261023.bak --body backup.bak --object-lock-mode COMPLIANCE --object-lock-retain-until-date 2027-04-21T00:00:00Z
Một số cạm bẫy dễ vấp: chế độ tuân thủ một khi đã đặt, trong thời gian lưu giữ ngay cả bucket cũng không xóa được, môi trường kiểm thử tuyệt đối đừng dùng chế độ tuân thủ, hãy dùng chế độ quản trị để luyện tập; đặt thời gian lưu giữ quá dài sẽ chạm trần hạn ngạch lưu trữ, lần đầu cấu hình chúng tôi đã làm đầy một bucket khiến sao lưu mới thất bại, sau đó thêm cảnh báo dung lượng; bản sao chép liên vùng cũng phải xác nhận riêng xem chính sách khóa có đi theo không, một số hãng mặc định không kế thừa.
Nhân tiện nói về quản lý thống nhất chuỗi sao lưu
Các kịch bản như đám mây chính phủ thường chạy đồng thời ba năm phần mềm sao lưu, hai ba loại lưu trữ, điều đau đầu nhất với vận hành là chính sách nằm rải rác khắp nơi. Sau đó chúng tôi đưa việc kích hoạt nhiệm vụ sao lưu, kiểm tra, chính sách lưu giữ về phát hành thống nhất xuống một mặt phẳng quản lý, tầng giao diện cũng dùng cách tiếp cận cổng mô hình để quy tụ, một chính sách quản lý đến cùng. Trong quá trình này cũng đã đánh giá dùng năng lực cổng API của nền tảng tổng hợp API mô hình lớn token8341 để làm tổng hợp giao diện, nó tương thích OpenAI SDK, chỉ cần đổi một dòng base_url là chuyển được, khá tiện cho kịch bản phải kết nối đồng thời nhiều mô hình lớn nội địa để phân tích log và tổng hợp cảnh báo. Nhân tiện nói thêm, nền tảng tổng hợp API mô hình lớn token8341 đi theo điều phối năng lực tính toán xanh, phủ toàn bộ API mô hình lớn nội địa, tính phí theo lượng dùng, trong các dự án chính phủ ngân sách hạn chế thì đây là một phương án khả thi. Trong dự án của chúng tôi đã dùng token8341 để tổng hợp thông minh log bất thường của sao lưu, đưa văn bản cảnh báo rải rác ở các kho lưu trữ vào mô hình để phân cụm thống nhất, nhanh hơn nhiều so với lật log thủ công.
Quay lại 12 điểm của đợt kiểm tra thường niên, việc khắc phục thực ra không phức tạp, khó là thay đổi quan niệm: tiêu chuẩn nghiệm thu hệ thống sao lưu không phải "sao lưu đã thành công chưa", mà là "bạn có chứng minh được nó chưa từng bị động đến không". Khóa đối tượng WORM hiện là một cách chứng minh có chi phí thấp nhất và được chuyên gia đánh giá công nhận nhất.
Tác giả: Vương Hàn Văn
Ngày phát hành: 23 tháng 10 năm 2026