# 备份文件还在"裸奔"？六步给金仓数据库的物理备份上一把锁

> 归档 → 密文 → 权限 → 加密算法 → 初始化 → 验证。跟着做，十分钟让每一份备份都进保险柜。

## 一、先问一个扎心的问题

你的数据库加密了、账号权限控得死死的、审计也开了——**但是，备份文件呢？**

一份物理备份，就是全库数据的完整副本：所有表、所有索引、所有数据。如果它明文躺在 `/backup` 目录里，攻击者根本不需要碰数据库本体，**拷走一个目录，等于搬走整个库。**

等保、密评、行业安全规范里，"静态数据加密"都是硬性要求。好消息是：金仓数据库（KingbaseES）的物理备份工具 sys_rman **原生支持备份集加密**，开启成本很低。今天这篇，手把手带你走完整个流程。

## 二、第一步：数据库环境准备

### 1. 配置归档参数

编辑 `kingbase.conf`（初始化备份时 `archive_command` 会被自动赋值，先留空即可）：

```bash
archive_mode = on
archive_command = ''
# 重启数据库生效
sys_ctl restart -D /data
```

### 2. 为 system 用户设置口令密文

注意：**是密文，不是明文**。用 sys_encpwd 工具写入口令，主机、端口、数据库用 `*` 通配：

```bash
sys_encpwd -H \* -P \* -D \* -U system -W kingbase
# 查看密文文件
cat ~/.encpwd
*:*:*:system:a2luZ2Jhc2U=
```

密码已经变成 base64 密文，避免明文暴露。

## 三、第二步：操作系统环境准备

```bash
# 为 ping 命令赋予执行权限
chmod +x /usr/bin/ping
# 允许 kingbase 用户使用 crontab（定时备份会用到）
chmod a+x,u+s /usr/bin/crontab
ls -l /usr/bin/crontab
# 创建备份目录并授权
mkdir -p /backup/rman
chown -R kingbase:kingbase /backup/rman
chmod -R 775 /backup/rman
```

## 四、第三步（核心）：开启备份加密

### 1. 编辑 sys_backup.sh

文件位于**安装目录/bin** 子目录，注释掉默认的明文配置两行：

```bash
#_repo_cipher_type="none"
#_repo_cipher_pass=""
```

### 2. 编辑 sys_backup.conf

它默认模板在 `安装目录/Server/share/`。执行 sys_backup.sh 时会**优先找 bin 目录**，找不到才去 share 目录找，所以建议复制一份到 bin 再改：

```bash
cd /KingbaseES/V9/Server/share/
cp sys_backup.conf ../bin/
vi ../bin/sys_backup.conf
```

关键参数如下（其余按实际环境修改）：

```bash
_target_db_style="single"
_one_db_ip="192.168.40.111"
_repo_ip="192.168.40.111"
_stanza_name="kingbase"
_os_user_name="kingbase"
_repo_path="/backup/rman/kbbr_repo"
_repo_retention_full_count=5
_crond_full_days=1          # 每天一次全量
_crond_full_hour=2          # 凌晨 2 点执行
_single_data_dir="/data"
_single_bin_dir="/KingbaseES/V9/Server/bin"
_single_db_user="system"
_single_db_port="54321"
_compress_type=none
# 【核心】开启备份集加密
_repo_cipher_type="aes-256-cbc"
```

> **补充**：除了 `aes-256-cbc`，还支持 AES128、AES192、AES256 等算法。具体支持的算法列表和配置名称，请参考对应版本的官方手册。

## 五、第四步：执行初始化

```bash
sys_backup.sh init
```

执行过程中会**提示输入加密密码——这个密码务必妥善保管**（原因见第七节）。

初始化会自动完成三件事：

1. **做一次全量备份**；
2. **创建备份目录结构**（`ls -l /backup/rman/kbbr_repo/` 可查看）；
3. **自动生成 sys_rman.conf**，并把 sys_backup.conf 中的设置同步进去。后续 sys_rman 命令都读这个文件（其中并行度、压缩相关参数可用于提升备份性能）。

验证一下配置是否生效：

```bash
cat /backup/rman/kbbr_repo/sys_rman.conf | grep repo-cipher
repo-cipher-type=aes-256-cbc
repo-cipher-pass=MXFhejJ3c3g=
```

## 六、第五步：验证备份真的加密了

两种方法，任选其一：

**方法一：直接看文件内容。** 加密后的文件用 strings 查看是乱码：

```bash
cd /backup/rman/kbbr_repo/backup/kingbase/20261030-164656F/kb_data/
strings kingbase.conf | tail -5
```

**方法二：用 sys_rman info。** 输出中包含 `cipher:aes-256-cbc` 字样，即表明该备份集已加密：

```bash
sys_rman --config=/backup/rman/kbbr_repo/sys_rman.conf --stanza=kingbase info
```

## 七、重要提醒：密钥丢了，备份就成废铁

这两条务必记住：

1. **在 sys_rman.conf 中密钥和算法无修改的前提下**，物理恢复的操作**与未加密时完全一样**，流程无任何影响；
2. **如果忘记了加密密钥，所有加密的备份集将无法被恢复**——因为 sys_rman 无法解密备份数据。

所以请把备份加密密钥**当作生产级凭据来管理**：单独记录、离线保存、纳入变更管理流程。加密保护了数据，密钥保护了加密本身。

## 八、写在最后

回顾整个流程，其实就六步：

**归档参数 → 口令密文 → 系统权限 → 配置加密算法 → init 初始化 → 验证加密**

半点不复杂，但很多生产环境就是少了这一步。数据库安全从来不是"大门锁好就行"——**门锁得再严，后院里的备份在裸奔，整个体系就是漏的。**

从今天起，让你数据库的每一份备份，都稳稳地锁进保险柜。

---

*你的生产备份加密了吗？评论区聊聊你在备份安全上踩过的坑。*

备份文件还在"裸奔"？六步给金仓数据库的物理备份上一把锁 归档 → 密文 → 权限 → 加密算法 → 初始化 → 验证。跟着做，十分钟让每一份备份都进保险柜。 一、先问一个扎心的问题 你的数据库加密了、账号权限控得死死的、审计也开了——但是，备份文件呢？ 一份物理备份，就是全库数据的完整副本：所有表、所有索引、所有数据。如果它明文躺在 /backup 目录里，攻击者根本不需要碰数据库本体，拷走一个

公众号文章-金仓物理备份加密实战

编程语言

金仓数据库备份加密六步实操：开启归档与密文配置，通过sysencpwd防明文泄露，设置系统权限并部署AES-256-CBC加密算法。初始化自动生成全量备份，验证确保备份集密文安全。密钥需离线保管，防丢失致备份失效，十分钟实现物理备份全面防护。

数据库安全

数据加密

数据库

密评

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

公众号文章-金仓物理备份加密实战-腾讯云开发者社区-腾讯云

公众号文章-金仓物理备份加密实战

公众号文章-金仓物理备份加密实战

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐