安全模型

關注點	Tenax 如何處理
靜態資料	每個資料物件都在用戶端用 age 加密給由你掌控的接收者。儲存貯體及其供應商永遠看不到明文。
金鑰	備份身分（私鑰）只由還原 Job 讀取。請離線儲存一份副本：沒有它，什麼都無法還原。另有一個獨立的目錄金鑰，讓控制台可以讀取清單和遮罩預覽，但無法讀取傾印或 WAL（ADR 0009）。
資料庫存取	每個資料庫一個最小權限使用者，從不使用管理員帳號：它讀取資料用於傾印，並透過複製取得變更串流（資料庫使用者）。
Kubernetes 存取	叢集範圍內讀取 Tenax 自身的資源；在目標名稱空間中，只能讀取 tenax-* Secret。Pod 以非 root 身分執行，根檔案系統唯讀，沒有任何 capabilities。
控制台和 API	驗證 Cloudflare Access JWT，四種角色（viewer、operator、restorer、restorer-admin），選用的組織/專案範圍，並對每一次寫操作和每一次查詢記錄稽核日誌。請求會依 OpenAPI 文件進行驗證。
沙盒	獨立的名稱空間、NetworkPolicy、自動產生的憑證和 TTL。只有在你開啟後，才會透過位於 Access 之後的 Cloudflare Tunnel 公開。
日誌中的金鑰	從不記錄：日誌記錄器會遮蔽密碼、權杖、身分和授權請求標頭。

完整的審查（包括未解決事項）見安全審查。