nginx日志加密归档需嵌入logrotate的postrotate阶段，用openssl对归档文件即时加密并删除明文，密钥存于权限600的独立文件；支持流式加密压缩一体化及对象存储端到端加密，配套受限解密脚本与审计日志。
对 Nginx 历史归档日志做加密存储，核心是把加密动作嵌入到日志轮转（logrotate）流程中，确保明文日志在生成后“不落地”或“不驻留”，直接转为密文归档。这不是事后补救，而是让加密成为轮转环节的刚性步骤。
用 logrotate 的 postrotate 调用 OpenSSL 加密
logrotate 支持在完成日志切割、压缩后执行自定义命令，postrotate/endscript 是最稳妥的位置——此时旧日志已重命名（如 access.log-20260819.gz），新日志已创建，可放心处理归档文件。
- 编辑 /etc/logrotate.d/nginx，在配置块末尾添加：
/var/log/nginx/*.log {<br> daily<br> rotate 30<br> missingok<br> notifempty<br> compress<br> delaycompress<br> dateext<br> create 0644 nginx nginx<br> sharedscripts<br> postrotate<br> # 对刚生成的 .gz 归档文件立即加密<br> if [ -f /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).gz ]; then<br> openssl enc -aes-256-cbc -salt -in /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).gz \<br> -out /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).gz.enc \<br> -pass file:/etc/nginx/.logkey<br> rm -f /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).gz<br> fi<br> endscript<br>}
- 密钥建议存为独立文件（如 /etc/nginx/.logkey），权限设为 600，仅 root 和 nginx 主进程可读；避免硬编码密码或用环境变量泄露。
- 加密后保留 .enc 后缀，便于识别和后续解密脚本自动匹配。
归档前不压缩，改用加密+压缩一体化命令
如果希望一步到位（避免先 gzip 再 openssl 导致中间明文临时文件），可关闭 logrotate 自带压缩，改用 openssl + gzip 流式管道：
- 去掉配置中的 compress 和 delaycompress；
- 在 postrotate 中用管道直连：
postrotate<br> # 将昨日日志内容直接加密并 gzip 压缩，写入 .enc.gz<br> zcat /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).gz 2>/dev/null | \<br> openssl enc -aes-256-cbc -salt -pass file:/etc/nginx/.logkey | \<br> gzip > /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).enc.gz<br> rm -f /var/log/nginx/access.log-$(date -d "yesterday" +\%Y\%m\%d).gz<br> endscript
- 这样全程无磁盘明文残留，适合高敏感场景；但需确保 zcat 能正确解压（logrotate 默认用 gzip，兼容）。
配合对象存储实现端到端加密归档
若历史日志最终上传至 MinIO、S3 或阿里云 OSS，可在上传前启用服务端加密（SSE），或客户端加密后再上传：
- 使用 s3cmd 或 aws cli 时加参数：
--server-side-encryption AES256（SSE-S3）或指定 KMS 密钥； - 更严格的做法：本地用
openssl enc加密后，再用aws s3 cp --no-progress上传，密钥由运维离线保管； - 注意：上传脚本也应放在 postrotate 中，确保加密完成才触发传输，避免明文外泄。
解密与审计需配套设计
加密不是终点，得能安全地解密查看：
- 准备一个受限脚本（如 /usr/local/bin/decrypt-nginx-log），只允许审计组成员通过 sudo 执行；
- 脚本内调用
openssl enc -d -aes-256-cbc -in $1 -pass file:/etc/nginx/.logkey | zcat，支持 .enc 和 .enc.gz； - 所有解密操作记录到系统 audit 日志（ausearch -m execve），形成可追溯链条。
