知识卡片
安全与恢复共同设计
内容
安全控制会改变故障恢复路径：离线密钥、多人保管和物理隔离虽能减少未授权访问，却可能在事故中延长恢复。设计时应把恢复所需凭证、人员、地点和操作步骤纳入演练，验证安全边界没有把可用性变成新的单点。发散：恢复预案的合格标准不只是“有备用物”，还应在压力下实际取到并正确使用。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第1章《安全性与可靠性的交集》（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_024.html`）
- 结论依据：原文中密码管理系统先因过载和负载均衡失效而停机，之后又因 HSM 卡、异地保险箱和卡片插入问题拖慢重启，直接说明安全措施会塑造恢复复杂度。
- 原始内容：过载流量导致主服务无法响应，备机也立即过载。重新启动需要硬件安全模块智能卡；这些智能卡存储在全球各地的多个保险箱中。团队花了一个多小时才意识到，智能卡读取器上的绿灯并不表示该卡已正确插入。