用GnuPG加密备份服务器配置需四步：生成专用4096位RSA密钥并离线保存私钥；脚本自动化打包、压缩、加密并定时执行；多机备份时分发公钥并设为最高信任；定期清理旧备份、轮换密钥并吊销泄露密钥。
用GnuPG加密备份服务器核心配置文件，本质是把“明文备份”变成“只有你才能打开的密文包”。关键不在加密动作本身，而在于密钥安全、流程闭环和权限隔离。下面分四步说清楚。
生成专用密钥对并严格隔离
别用日常办公密钥加密服务器配置——一旦那把私钥泄露，所有备份都裸奔。应该新建一个仅用于运维的密钥：
- 执行 gpg --full-generate-key，密钥类型选 RSA，长度填 4096
- 用户ID写清楚用途，例如 "backup-srv-prod <backup@company.com>"
- 有效期设为 2年（到期前可延长，但强制提醒轮换）
- 设置高强度 passphrase，建议用 4 个随机英文单词 + 数字 + 符号组合
生成后立即导出私钥并离线保存：
gpg --armor --export-secret-keys backup@company.com > backup-srv-private.asc
把这个 .asc 文件存进加密U盘或硬件安全模块（HSM），绝不能留在服务器本地或同步到任何网络存储。
自动化备份+加密一体化脚本
手动操作易出错，推荐用脚本把打包、压缩、加密三步串起来。例如备份 /etc/ 和 /var/www/conf/：
tar czf - /etc /var/www/conf | gpg --encrypt --recipient backup@company.com --output /backup/config-$(date +%Y%m%d).tar.gz.gpg
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 注意：命令中 --recipient 后必须是你刚创建的密钥绑定的邮箱（即 backup@company.com）
- 输出文件带 .gpg 后缀，是标准识别标志
- 可加入 cron 每日凌晨 2 点自动执行，日志单独记录加密结果
解密验证只需一条命令：
gpg --output - --decrypt /backup/config-20260414.tar.gz.gpg | tar xzf -
这样能边解密边解压，不落地明文，减少临时文件风险。
公钥分发与信任链加固
如果备份需由多台跳板机或CI/CD节点触发加密，这些机器只需安装你的公钥，无需私钥：
- 在每台执行备份的机器上运行：gpg --import backup-srv-public.asc
- 导入后执行：gpg --edit-key backup@company.com，输入 trust → 选择 5（ultimate） → 保存
- 这样 GPG 才会默认信任该密钥用于加密，避免交互式确认打断自动化
公钥文件（backup-srv-public.asc）可放在内部 Git 仓库或配置中心，但禁止上传到公共密钥服务器。
销毁旧备份与密钥生命周期管理
加密不是一劳永逸。要配合定期清理和密钥更新：
- 设置备份保留策略，例如只保留最近 7 天 + 每月首日快照，超期自动 shred -u *.gpg
- 每年检查密钥状态：gpg --list-keys --with-expiry，对即将过期的密钥提前运行 gpg --edit-key backup@company.com expire
- 若发生人员变动或怀疑泄露，立即撤销旧密钥：gpg --gen-revoke backup@company.com，生成吊销证书并导入所有相关机器
整个过程不依赖第三方服务，全链路可控，且符合等保2.0对重要配置“加密存储+最小权限+审计留痕”的基本要求。
