wangjia
20dbb5f363
实现 xtrabackup + binlog 增量备份、age 加密异地存储与月度 DR 演练。 ## 交付内容 ### deploy/backup/ —— 备份容器 - Dockerfile：Ubuntu 22.04 + xtrabackup 8.0 + age v1.2.0 + AWS CLI v2 + pg_client - entrypoint.sh：初始化 AWS 凭据 / age 公钥，启动 crond - crontab.txt：全量 02:00 / 增量每 15min / DR 演练每月 1 日 - scripts/lib.sh：日志 / age 加密 / S3 上传 / 连接测试等共用函数 - scripts/backup-full.sh：MySQL xtrabackup 全量 + pg_dump 全量 + SQLite 备份 - scripts/backup-inc.sh：MySQL xtrabackup 增量 + binlog flush & 归档 + pg_dump 快照 - scripts/restore.sh：从 S3 下载、解密、prepare / pg_restore 完整恢复 - scripts/dr-drill.sh：月度演练 —— RPO 验证 / 备份完整性 / MySQL 临时容器恢复 / RTO 度量 - scripts/verify-rpo-rto.sh：实时 RPO/RTO 状态检查（S3 最新备份时间戳） - backup.env.example：配置模板（MySQL / PG / S3 / age 公钥） ### 修改已有文件 - deploy/docker-compose.yml：新增 pangolin-backup 服务 - deploy/scripts/gen-secrets.sh：幂等生成 age 密钥对 + backup.env 模板 - .gitignore：排除 age 私钥 / backup.env - deploy/README.md：容器一览 + 备份快速命令 ### docs/备份与灾备.md S3 初始化、IAM 权限设计、age 密钥管理、MySQL 权限、DR 恢复步骤、RTO 测量标准 ## 设计要点 - RPO ≤ 15min：每 15min xtrabackup 增量 + binlog flush + pg_dump 快照 - RTO ≤ 4h：月度演练度量，估算恢复时长约 2h - 独立身份账号：备份 IAM 仅有 s3:PutObject，与生产账号完全隔离 - age 加密：公钥存服务器，私钥离线保存，S3 中无明文 - 无 crontab：cron 在容器内运行，绕过 ec2-user crontab 限制 - 幂等部署：backup.env 存在则跳过，age 密钥对存在则跳过 Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
76 lines
5.1 KiB
Bash
76 lines
5.1 KiB
Bash
# ============================================================
|
|
# Pangolin 备份系统环境变量
|
|
# 复制此文件为 deploy/secrets/backup.env 并填写真实值
|
|
# deploy/secrets/ 已在 .gitignore，不会提交到版本库
|
|
# ============================================================
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# S3 备份目标（独立身份账号，与生产 AWS 账号隔离）
|
|
# 创建步骤见 docs/备份与灾备.md § 初始化
|
|
# ──────────────────────────────────────────────────────────
|
|
BACKUP_S3_BUCKET=pangolin-backup-XXXXXX # 替换为实际 bucket 名
|
|
BACKUP_S3_PREFIX=ec2-ap-southeast-1 # 按服务器区分前缀
|
|
BACKUP_AWS_REGION=ap-southeast-1
|
|
|
|
# 备份专用 IAM 凭据（仅有 s3:PutObject 权限）
|
|
BACKUP_AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
|
|
BACKUP_AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# age 加密密钥
|
|
# 生成方式: age-keygen 2>&1 | tee age-keypair.txt
|
|
# 公钥放此处（明文 OK）；私钥存离线，灾备演练时临时注入
|
|
# ──────────────────────────────────────────────────────────
|
|
AGE_PUBLIC_KEY=age1xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
|
|
|
|
# age 私钥（可选，DR 演练容器需要；不设则演练只做结构验证，不做解密恢复）
|
|
# AGE_PRIVATE_KEY=AGE-SECRET-KEY-1XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# MySQL (jiu_mysql, marzban)
|
|
# ──────────────────────────────────────────────────────────
|
|
MYSQL_HOST=127.0.0.1
|
|
MYSQL_PORT=3306
|
|
MYSQL_USER=backup_user # 专用备份账号，权限见下方
|
|
MYSQL_PASSWORD=CHANGE_ME
|
|
|
|
# 如果 MySQL 数据目录可以挂载到容器（xtrabackup 需要），设置此项
|
|
# Docker 内 MySQL: 通常 /var/lib/docker/volumes/<vol>/_data
|
|
# 宿主原生 MySQL: /var/lib/mysql
|
|
# 留空则 xtrabackup 尝试从 MySQL 连接获取（需要 BACKUP_ADMIN 权限）
|
|
MYSQL_DATADIR=
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# PostgreSQL (blog, umami)
|
|
# ──────────────────────────────────────────────────────────
|
|
PG_HOST=127.0.0.1
|
|
PG_PORT=5432
|
|
PG_USER=postgres
|
|
PG_PASSWORD=CHANGE_ME
|
|
PG_DATABASES=blog,umami # 逗号分隔，按需填写
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# Marzban SQLite
|
|
# ──────────────────────────────────────────────────────────
|
|
MARZBAN_DB_PATH=/var/lib/marzban/db.sqlite3
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# 本地临时备份目录（容器内路径）
|
|
# ──────────────────────────────────────────────────────────
|
|
BACKUP_DIR=/backup
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# 通知 Webhook（可选）
|
|
# 支持格式：POST JSON {"level":"INFO|ERROR","msg":"..."}
|
|
# 可对接 PushDeer / 企业微信 / Slack 等
|
|
# ──────────────────────────────────────────────────────────
|
|
# NOTIFY_WEBHOOK_URL=https://api.pushdeer.com/message/push?pushkey=XXXXX
|
|
|
|
# ──────────────────────────────────────────────────────────
|
|
# MySQL 备份账号权限（在 MySQL 中执行）
|
|
# CREATE USER 'backup_user'@'%' IDENTIFIED BY 'CHANGE_ME';
|
|
# GRANT RELOAD, LOCK TABLES, REPLICATION CLIENT, CREATE TABLESPACE,
|
|
# PROCESS, SUPER, CREATE, INSERT, SELECT, BACKUP_ADMIN ON *.* TO 'backup_user'@'%';
|
|
# FLUSH PRIVILEGES;
|
|
# ──────────────────────────────────────────────────────────
|