4. Velero 备份资源范围：从全集群到标签过滤

在云原生灾备准入策略评审中，备份资源范围是定义灾备边界的第一道防线。Velero 提供了四个层级的资源选择能力，从最粗粒度的全集群备份，到最细粒度的标签选择器过滤。理解每一层级的语义、适用场景与安全约束，是构建合规灾备策略的基础。

4.1 四种备份范围对比

4.2 全集群备份：谨慎使用的“核选项”

全集群备份会捕获集群中所有 Kubernetes 资源，包括集群作用域对象。在准入策略评审中，应将其视为高风险操作。

# 全集群备份命令示例
velero backup create full-cluster-backup \
  --include-cluster-resources=true \
  --ttl 72h

4.3 指定命名空间：多租户灾备的基石

指定命名空间是最常用的备份范围，适合微服务架构下的应用级灾备。Velero 支持同时指定多个命名空间，用逗号分隔。

# 备份 production 和 staging 两个命名空间
velero backup create ns-backup \
  --include-namespaces production,staging \
  --ttl 168h

在准入策略中，应强制要求备份命令必须包含 --include-namespaces 参数，并配合命名空间白名单机制，防止备份到未授权的命名空间（如 kube-system、velero 自身）。

4.4 指定资源类型：精细控制备份内容

当只需要备份特定类型的资源时（例如只备份 Deployment 和 ConfigMap，排除 Secret 和 PVC），使用 --include-resources 参数。

# 仅备份 deployments 和 configmaps
velero backup create resource-filter-backup \
  --include-namespaces production \
  --include-resources deployments,configmaps \
  --ttl 72h

此模式常与 --exclude-resources 配合使用，实现“排除式”过滤。例如，备份命名空间内所有资源，但排除 secrets 和 events。

# 排除敏感资源
velero backup create exclude-sensitive-backup \
  --include-namespaces production \
  --exclude-resources secrets,events \
  --ttl 72h

4.5 标签选择器：最灵活的过滤方式

标签选择器允许基于 Kubernetes 标签进行跨命名空间、跨资源类型的精确过滤。这是实现“按业务域备份”的最佳实践。

# 备份所有带有 app=nginx 标签的资源
velero backup create label-backup \
  --selector app=nginx \
  --ttl 72h

标签选择器支持 =（等于）、!=（不等于）、in（属于集合）、notin（不属于集合）等操作符，语法与 Kubernetes 标签选择器完全一致。

# 复杂标签选择：环境为 production 且 tier 不为 database
velero backup create complex-label-backup \
  --selector 'environment=production,tier notin (database)' \
  --ttl 72h

4.6 备份范围组合与优先级

Velero 允许将上述范围组合使用，但存在明确的优先级规则：

• 命名空间 + 资源类型：先按命名空间过滤，再按资源类型过滤。
• 命名空间 + 标签选择器：先按命名空间过滤，再按标签选择器过滤（标签选择器仅在已选命名空间内生效）。
• 资源类型 + 标签选择器：先按资源类型过滤，再按标签选择器过滤。
• 全集群 + 标签选择器：全集群范围内按标签选择器过滤（最灵活但性能最差）。

以下 SVG 图展示了四种备份范围的关系与组合逻辑：

4.7 准入策略评审清单

在灾备准入策略评审中，针对备份资源范围，应检查以下要点：

4.8 审计日志中的资源范围记录

Velero 的审计日志会记录每次备份任务的资源范围参数。以下是一个典型的审计日志条目（JSON 格式）：

{
  "timestamp": "2025-03-15T10:30:00Z",
  "action": "backup.create",
  "user": "system:serviceaccount:velero:velero-server",
  "backup_name": "production-app-backup",
  "parameters": {
    "include_namespaces": ["production", "staging"],
    "include_resources": ["deployments", "configmaps", "services"],
    "exclude_resources": ["secrets", "events"],
    "selector": "app=nginx,environment=production",
    "include_cluster_resources": false,
    "ttl": "168h"
  },
  "result": "success"
}

在准入策略评审中，应定期审计备份任务的 parameters 字段，确保资源范围符合组织安全基线。例如，检查是否存在 include_cluster_resources: true 且未经过审批的备份任务。