3. Loki快照机制：快照概念、快照创建与恢复、快照存储后端配置

3.1 快照概念与设计目标

Loki快照（Snapshot）是一种将特定时间点的日志数据与索引元数据整体导出为不可变归档文件的机制。在eBPF网络观测节点池巡检回退演练中，快照承担着巡检基线锚点与回退恢复源的双重角色。

3.2 快照创建与恢复操作

3.2.1 快照创建流程

Loki快照通过 loki-canary 或 loki-snapshot 工具触发，支持按时间范围、标签选择器进行精细化导出。在节点池巡检场景中，建议在巡检开始前对目标节点池的日志流执行全量快照。

3.2.2 快照恢复流程

当演练需要回退时，从快照存储后端拉取对应的 .snap 文件，通过 loki-snapshot restore 命令恢复到指定Loki实例。恢复过程支持全量恢复与增量恢复两种模式。

# 全量恢复示例：将快照恢复到新的Loki实例
loki-snapshot restore \
  --snapshot-id=snap-node-pool-a-20250301-120000 \
  --target-loki=http://loki-restore:3100 \
  --backend=s3 \
  --bucket=loki-snapshots \
  --restore-mode=full

# 增量恢复示例：仅恢复缺失的时间分片
loki-snapshot restore \
  --snapshot-id=snap-node-pool-a-20250301-120000 \
  --target-loki=http://loki-restore:3100 \
  --backend=s3 \
  --bucket=loki-snapshots \
  --restore-mode=incremental \
  --gap-detection=true

3.3 快照存储后端配置

Loki快照支持多种存储后端，配置通过 loki-snapshot 工具的配置文件或环境变量指定。下表对比了三种主流后端的配置参数与适用场景。

3.3.1 S3后端配置示例

# loki-snapshot-config.yaml
snapshot:
  backend: s3
  s3:
    bucket: loki-snapshots
    region: us-east-1
    endpoint: https://s3.amazonaws.com
    access_key_id: ${AWS_ACCESS_KEY_ID}
    secret_access_key: ${AWS_SECRET_ACCESS_KEY}
    sse: AES256                    # 服务端加密
    part_size_mb: 64               # 分片上传大小
    max_retries: 3
  compression: gzip               # 快照压缩算法
  retention_days: 90              # 快照保留周期

3.3.2 本地文件系统配置示例（演练环境）

# loki-snapshot-config.yaml
snapshot:
  backend: local
  local:
    path: /data/loki/snapshots
    max_snapshots: 10             # 最大保留快照数
    cleanup_policy: lru           # 淘汰策略：最近最少使用
  compression: zstd               # 本地环境使用zstd加速
  verify_on_create: true          # 创建时自动校验

3.4 快照元数据与校验机制

每个快照包含以下元数据文件，用于恢复时的索引重建与数据完整性验证：

• manifest.json：快照时间范围、标签集合、分片列表、校验和。
• index.tar.gz：压缩后的倒排索引与时间线数据。
• chunks/：原始日志块文件，按时间分片存储。
• checksums.sha256：所有文件的SHA256校验和列表。