安全模型

关注点	Tenax 如何处理
静态数据	每个数据对象都在客户端用 age 加密给由你掌控的接收者。存储桶及其提供商永远看不到明文。
密钥	备份身份（私钥）只由恢复 Job 读取。请离线保存一份副本：没有它，什么都无法恢复。另有一个独立的目录密钥，让控制台可以读取清单和脱敏预览，但无法读取转储或 WAL（ADR 0009）。
数据库访问	每个数据库一个最小权限用户，从不使用管理员账号：它读取数据用于转储，并通过复制获取变更流（数据库用户）。
Kubernetes 访问	集群范围内读取 Tenax 自身的资源；在目标命名空间中，只能读取 tenax-* Secret。Pod 以非 root 身份运行，根文件系统只读，没有任何 capabilities。
控制台和 API	校验 Cloudflare Access JWT，四种角色（viewer、operator、restorer、restorer-admin），可选的组织/项目范围，并对每一次写操作和每一次查询记录审计日志。请求会按 OpenAPI 文档进行校验。
沙箱	独立的命名空间、NetworkPolicy、自动生成的凭据和 TTL。只有在你开启后，才会通过位于 Access 之后的 Cloudflare Tunnel 暴露。
日志中的密钥	从不记录：日志记录器会屏蔽密码、令牌、身份和授权请求头。

完整的审查（包括未解决事项）见安全审查。