备份文件本身的安全怎么保护

结论先行

备份文件 = 数据库的完整快照，里面的数据默认是明文的（未开 TDE 时）。所以备份目录的权限要按「能还原库的高敏感」来管：目录只给还原账号与运维账号，异地副本访问留痕，长期保留的备份定期复核归属。备份安全是「文件安全 + 存放安全 + 访问审计」三件套，缺一件防护就漏一块。

三条防线

① 文件权限（本机/共享）

# 备份目录只留必要账号（示例：运维组可读写，服务账号可写，其余全拒）
icacls "E:\backup" /grant "DOMAIN\SQL-Backup-Writers:(OI)(CI)M" /inheritance:e

• 用组管账号（人员进出不改权限）；
• 共享（SMB）场景：共享权限 + NTFS 权限双层收敛，共享设为「只有命名用户可访问」再靠 NTFS 细分。

② 存放位置

副本位置	风险	做法
本机独立卷	与主机同毁	只做热副本
异地共享	网络被横向渗透	独立网段 + 凭据最小化
冷存储（离线/云对象）	取回慢但最安全	按保留周期归档

③ 访问审计

• 备份目录开启 NTFS 审计（对「写入/读取/删除」记事件），日志进统一审计位置；
• 还原操作本身走高权限账号并留记录（谁在什么时间还原了什么库）。

与 TDE 的关系

开了 TDE 后，.bak 里的数据页是密文，但证书/主密钥一旦也在同一台机器可取，防护归零——TDE 的价值在「介质被偷 + 密钥不在偷走的东西里」时才成立。证书存放（独立存储、HSM、最小权限）是 TDE 安全性的另一半，见 TDE 相关条目。

备份加密（部分版本支持对备份介质加密）可在引擎侧加密备份内容，以你所用引擎的特性说明为准。

常见疏漏

1. 备份目录给了「Everyone: 读取」——等于把明文数据广播出去；
2. 异地副本的访问凭据多年不轮换；
3. 只查「备份任务成功」，从不查「备份文件还能被谁读到」。

SQL Server 2022 Developer 条目环境配合 Windows Server 2019 条目 是演练上述权限配置的典型组合；备份策略整体规划另见「备份频率应该怎么规划」相关条目，SSMS 侧备份操作见 SSMS 管理工具条目。

相关链接

• SQL Server 2022 Developer
• Windows Server 2019 条目
• SSMS 管理工具