etcd 快照与隔离恢复演练

由恢复负责人界定定期演练或真实灾难，不将单成员异常自动处理为全量重建。记录 RPO、RTO、快照时间点和数据取舍审批人，盘点服务端及工具版本、成员、故障域、加密配置与外部依赖。以下命令仅在获准的管理环境读取状态，TLS 凭据来自受控配置，不输出密钥；多数丢失导致超时时保留结果，不重复施压。

etcdctl version
etcdutl version
etcdctl endpoint status --write-out=table
etcdctl member list --write-out=table

优先选择已有可追溯快照；确需新建时，先审批单一端点、时间、资源开销和唯一输出路径。快照操作会占用读取带宽与存储 I/O，不等同于无影响的状态查看。确认空间、权限和传输加密，保存任务起止时间、文件校验与来源。以下示例不含真实地址，禁止覆盖唯一可用备份。

# 需备份授权，并替换端点与不存在的新文件路径。
etcdctl --endpoints=BACKUP_ENDPOINT snapshot save NEW_SNAPSHOT_FILE
etcdutl snapshot status NEW_SNAPSHOT_FILE --write-out=table

对受控副本执行离线状态检查，对照源文件和传输校验，检查 revision、键数与体积变化是否有业务解释。分开保存快照与 CA、API Server 加密配置、KMS 接入材料，验证有授权的恢复渠道，不打印 Secret 或遍历导出业务键值。校验失败、快照过旧或缺少加密依赖时停止，不使用跳过校验来掩盖原因。

在恢复前确认演练主机、路由、DNS、监听地址、证书及服务启动参数全部独立，拒绝与原 etcd 客户端和 peer 地址互通；生产 API Server 与其他客户端也不能访问演练端点。审阅新成员名称、新 token 和新目录，token 不能替代认证与网络隔离。若启动测试 Kubernetes 控制器，阻断云 API、Webhook 及业务外部副作用并使用批准的测试替身。

运行实际 etcdutl 的帮助确认参数，以 etcd 3.6 文档作为基准。涉及 Kubernetes 或 watch 缓存客户端时，按快照年龄、已观察最高 revision、写入上界和余量评估 --bump-revision，并与 --mark-compacted 配合验证客户端重新列举。不同发行版和旧版本必须重新确认，不能复制固定十亿增量，也不能把不支持的参数简单删除后宣称等价。

etcdutl snapshot restore --help

仅在第四、五步通过且获得离线恢复授权后操作。下例为单成员隔离模板，全部大写项和 example.invalid 地址须替换为审阅后的演练值；它不启动服务。需要客户端接管验证时，必须把第五步批准的 revision 参数加入最终命令后复核。多成员演练全部使用同一快照，各自新名称、新目录和一致的新成员清单，不引用原成员。

etcdutl snapshot restore SNAPSHOT_COPY \
  --name=drill-a \
  --data-dir=NEW_DRILL_DATA_DIR \
  --initial-cluster=drill-a=https://drill-a.example.invalid:2380 \
  --initial-advertise-peer-urls=https://drill-a.example.invalid:2380 \
  --initial-cluster-token=UNIQUE_DRILL_TOKEN

通过获批的演练服务配置启动恢复成员，复查隔离监听、TLS 与端点清单。只对明确列出的演练端点检查身份、成员、告警与受控健康测试，不沿用生产 ETCDCTL 端点变量或自动发现未审阅成员。抽样读取获准脱敏对象，必要时在独立客户端验证 API 读取、加密对象解密和 watch 重新同步；所有功能测试都记入授权演练记录。

分别统计备份、传输、离线恢复、启动、客户端验证和人工等待耗时，对照 RPO/RTO 及批准的数据时间点。记录 KMS、持久卷、外部数据库和多成员故障等覆盖缺口，把备份成功率、备份年龄和最近恢复演练结果分别展示。按保留策略关闭本次演练入口、临时权限和快照副本访问，交接可复查的脱敏证据及下次演练计划。