摘要

  • Backblaze 原生 Cloud Replication 不支持 SSE-C 文件，两项单独存在的能力不能直接拼成同一套服务。
  • 选择客户自持密钥可以有充分理由，但替代复制方案的运行、维护和交接也应同时获得预算与负责人。
  • 公开材料说明的是产品边界，并不证明任何客户丢失数据、发生事故或支付了不合理费用。

一项安全决定，可能在另一个部门变成工作

采购会上，密钥由谁保管往往被放在安全要求里；另一份副本如何持续形成，则被放进基础设施方案。两边各自通过评审，看起来就可以下单。问题在于，前一项决定可能改变后一项服务的适用范围，而新增的工作尚未被任何一方正式接受。

Backblaze B2 的文档给出了一个明确例子：原生 Cloud Replication 排除 SSE-C 文件。这并不是说客户不能使用其他方法复制数据，而是说，不能把这一加密选择和该原生复制功能当作可以自然叠加的两个勾选项。这里依据的是 2026 年 9 月 3 日可见的公开说明，不是一次新功能发布或限制变更。复制功能适用范围。

由此产生的商业问题并不需要等到故障发生。谁来选择替代路径？谁负责长期运行？人员调整之后，谁继续对结果负责？如果采购文件只规定“保留第二份副本”，却没有承接这些工作的组织，存储服务可以完全按公开范围交付，客户仍可能没有得到原先想象中的完整安排。

这不是对云服务价值的否定。把存储交给专业供应商，可以减少客户自己经营底层设施的工作。但减少一部分工作，不等于所有相关职责都随合同一起移走。真正值得比较的，是客户最终需要维持的整套运行方式，而不是功能清单里一共有多少项“支持”。

自持的是密钥，不是一个自动完成的结果

SSE-C 由客户提供加密材料；如果必要密钥丢失，Backblaze 无法替客户找回并解密。它与服务商管理密钥的 SSE-B2 不同。不过，SSE-C 仍是服务端加密，不能把它写成“授权操作中服务商从不接触所提供的密钥”。加密责任说明。

对一些企业而言，这种控制安排恰好就是采购目的。它们可能已有成熟的密钥保管体系、明确的职责分离，以及围绕这一方式设计的应用。为了少做集成就建议所有人改用服务商管理密钥，会抹掉客户原本重视的信任边界。便利不是唯一的价值尺度。

但“我们掌握密钥”也不能只是一句原则。它意味着组织要持续决定哪些系统可以使用密钥、何时可以使用，以及负责人离任后由谁承接。最初负责部署的人能够顺利完成一次操作，只能证明当时那条路径可用，不能证明多年后保留的数据仍有可持续的使用安排。

这里还容易混淆两类都被称作“密钥”的东西。Backblaze 的应用密钥用于控制 API 访问范围；SSE-C 所需的加密材料则是另一项要求。前者可以分配访问能力，却不能代替后者。应用密钥的权限模型。

因此，替代复制方案可能同时依赖两套组织授权：云平台团队掌握访问凭据，另一支团队管理加密材料。如果双方只确认自己负责的部分，没有人接受整个过程的持续责任，那么技术上的职责分离就可能伴随经营上的责任空白。这是需要事先设计的协作关系，不是产品故障的证据。

一次复制调用，并不是一项持续复制服务

Backblaze 的文件复制接口把边界显示得更具体：读取 SSE-C 源文件需要匹配的源加密参数，目标加密另行指定；该操作在同一账户内完成。不能据此宣称客户已经拥有自动跨账户、跨区域运行的托管复制服务。文件复制要求。

客户当然可以评估自行运行或委托第三方运行的其他路径。但“有办法实现”与“已经有人承诺持续交付”之间，还隔着一份运营安排。它要覆盖什么数据，怎样处理未完成的工作，源端发生变化后如何维护另一份副本，以及目标端是否仍符合原先的密钥控制意图，都需要有答案。

这些工作没有一个可从公开文档中直接读出的统一价格。已经建立相关能力的大型组织，额外负担可能有限；原本只打算购买存储容量的小团队，则可能需要补足一整段操作能力。因此，既不能据此认定 SSE-C 一定更贵，也不能把同样的存储单价理解成相同的总运营成本。

对托管服务报价也应作同样区分。管理账户、处理账单和发放访问权限，与负责第二份副本的持续形成，不是天然同一个交付范围。价格较高的方案可能确实承接了更多工作，也可能没有。应当比较的是合同中明确承诺的结果和持续责任，而不是先把差价认定为加价转售。

旧数据会把旧责任留下来

一家公司更换加密方式或复制流程之后，新产生的数据可以进入新安排，旧档案却未必随之改变。对新工作的默认选择，不能代替对既有数据的逐项判断。否则，应用已经退役，支持人员已经转岗，旧数据仍被保留，却没有人继续维护它所依赖的条件。

Backblaze 的生命周期规则涉及旧版本的保留与删除，并受相应保护约束。出现一份新副本，不等于旧版本已经消失。生命周期规则。这使架构迁移可能拥有两个不同的结束点：新的运行方式已经生效，旧的保管责任尚未结束。

Object Lock 则保护文件不被删除，正常存储费用仍然适用。防删除与可读性不是同一种能力。文件保留保护的边界。这不是为了省钱而弱化保护的建议，而是提醒管理者：保留期限与密钥责任应一起安排，不能以为其中一项已经替另一项提供保证。

公开材料没有披露客户使用这一组合的数量、实际人力成本、事故概率或损失金额。本文也没有运行真实客户环境。可以成立的结论是，一项加密选择改变了原生服务的适用范围；如果客户仍需要原先的业务结果，就应把替代过程当作正式购买或自行承担的工作。只有找到持续负责的人，控制权才不会在采购完成后变成无人认领的任务。