我想在我的所有备份磁带上启用加密。我或多或少知道如何在技术上做到这一点，但实现这一点的程序和人为因素是棘手的。
我使用带有 bacula 的 HP LTO4 驱动器，它没有任何密钥管理功能。事实上，它对硬件加密的支持是调用一个外部脚本，在读写之前在驱动器上设置密钥。
我的问题：
- 我应该如何跟踪哪些磁带已加密？我已经有几百个没有加密的磁带了。即使我花时间用加密重写它们，也会有几个月的重叠，有些人有，有些人没有。bacula 如何在读取给定磁带之前知道是否设置密钥？即使设置了密钥，驱动器是否足够智能以读取未加密的磁带？
- 如果密钥被泄露，我们将不得不更改它，我们将遇到与 #1 相同的问题。
- 如果密钥丢失，我们实际上丢失了所有备份。我怎样才能在不增加它被破坏的风险的情况下减轻这种情况？
- 密钥是否应该定期更换？一年一次？最佳做法是什么？
- 大型 ISV 备份系统如何处理这些问题？
非常好的问题。我也希望看到比我了解更多的人的好答案。:-)
准确地说，这就是为什么许多或大多数人不使用加密备份的原因。
一种可能的方法是构建几个“救生艇”，即包含安装媒体、用户名和密码的软件包，用于备份、Active Directory 和其他基本系统（即，如果主站点已经在火灾中完全被烧毁，但备份数据本身没有）。您应该将这些救生艇安全地存放在场外，例如在银行保险库中，或在带有警报系统的远程办公室的高度安全的保险箱中。最后记录下来，以便其他人可以在你离开公司后弄清楚如何使用救生艇，如果需要的话。
从实际的角度来看，我会说不要更改密钥，因为如果你这样做，它很快就会变得难以管理。如果您担心备份安全性不够好，那么可以通过使用Iron Mountain 等服务或自己构建具有良好物理安全性的存储系统来加强磁带周围的物理安全性。
最后：我希望在一个系统中进行所有加密和备份处理，因此恢复无法正常工作的风险较小。我的意思是使用 Retrospect 或 Backup Exec 等软件中的内置加密，而不是驱动器级加密。
我使用 dm-crypt FS，用长而强的密码加密它。
为了避免丢失密码，我把它写在蜡封信上，交给公司财产，他把它存放在安全保险箱里。
当然，您可以将其交给公证人，或者您认为的任何东西。
我认为密码框更适合这项工作，因为它只能在被授权知道它的人的脑海中，而数字设备可能会丢失、被盗等等。
当然，您可能会受到折磨:)
我正在回答这个问题，并且我正在将其设为社区 wiki，因为我正在从现有文档中复制和粘贴。
作为记录，我使用 Amanda Enterprise 作为我的备份解决方案，并且出于您提到的原因，我不使用它提供的磁带加密。
我正在研究磁带加密，我从惠普那里看到了一篇很棒的白皮书，里面谈到了LTO-4 加密，其中包含了许多密钥管理的可能性。以下是提供的可用选项的基本概要：
当然，我们真正缺少的是现实世界中的人们在做什么。白皮书很棒，但这并不一定反映现实。
另外，我在我的博客上发布了这个问题，所以一些答案或示例也可能会出现在那里。