麒麟系统.kyb备份镜像必须在创建时启用加密，官方唯一支持方式是通过原生“备份还原工具”勾选“启用加密”并设置8位以上含大小写字母与数字的密码，生成文件自动附加“.enc”标识；其他方法如Duplicity或OpenSSL二次封装均属非标准补充方案。
为麒麟系统已生成的备份镜像（.kyb格式）添加访问密码，防止镜像文件被非法读取或恢复，必须在备份创建阶段完成加密配置，因为该格式不支持对已有镜像文件追加加密——镜像一旦写入完成即固化结构，无法再注入LUKS容器或重封装。
使用原生“备份还原工具”创建带密码的.kyb镜像
这是唯一官方支持且稳定生效的方式，适用于桌面版Kylin V10 SP1及以上版本，加密逻辑内置于工具链中，无需额外安装组件。
第一步：点击屏幕右下角搜索图标，在搜索框中输入【备份还原】，双击打开该应用。
第二步：切换至“系统备份”标签页，勾选“新建系统备份”选项；此时界面右侧会显示“启用加密”复选框，【必须在此处勾选，否则后续无法补加】。
第三步：点击“浏览”按钮，选择外部U盘、挂载的NAS路径或本地非系统分区（如/backup）作为保存位置；注意：目标路径需支持POSIX权限且有足够连续空间，NTFS格式U盘可能因权限映射失败导致加密初始化中断。
第四步：填写备注后点击下一步，系统将弹出密码设置对话框；输入8位以上密码，需同时包含大小写字母与数字，不能含空格或中文；该密码将用于解密镜像并校验完整性，【丢失即永久无法恢复】。
第五步：确认密码并点击确定，继续点击下一步直至进度条走完；最终生成的.kyb文件名末尾会自动附加“.enc”标识，例如“kylin-v10-sp1_20261002_1423.enc.kyb”。
用Duplicity命令行制作带GPG密码的加密增量备份
适用于需要跨平台解密、保留多版本历史、或对.kyb格式兼容性存疑的高安全场景，备份结果为标准tar.gpg归档，不依赖麒麟原生工具。
方法一：安装依赖并生成密钥
以root权限打开终端，执行：sudo apt-get install duplicity gnupg；若无GPG密钥，运行gpg --full-generate-key，选择RSA（4096位），有效期设为“0”（永不过期）。
方法二：执行首次全量加密备份
运行：duplicity --encrypt-key="YOUR_KEY_ID" / file:///backup/duplicity-kylin；请将YOUR_KEY_ID替换为gpg --list-keys输出中的公钥ID（如5A3B7C9D）。
方法三：验证加密有效性
执行：duplicity verify file:///backup/duplicity-kylin /；若输出“Last full backup date: [timestamp]”且无ERROR字样，说明加密写入完整，可安全拔出存储设备。
对已有.kyb镜像进行二次封装加密（不推荐）
该操作属于应急补救手段，仅限镜像尚未被分发且原始备份源仍可访问的情况，存在单点故障风险，不保证所有恢复环境能正确解包。
打开终端，进入镜像所在目录，执行：openssl enc -aes-256-cbc -salt -in original.kyb -out original.kyb.aes -pass pass:YourStrongPass123；其中YourStrongPass123需替换为实际密码，长度建议12位以上。
解密时需用相同命令反向操作：openssl enc -d -aes-256-cbc -in original.kyb.aes -out restored.kyb -pass pass:YourStrongPass123；注意：此过程不校验镜像完整性，若AES层损坏，.kyb本体将无法修复。
