建立每日自动异机备份基线（07-27-automatic-offhost-backup）

docs/管理员手册.md

@@ -356,6 +356,16 @@ WAPC2 请假/补卡只读 POC 操作口径：
 6. 管理员查看审计日志中是否有异常导出、权限拒绝或付款动作。
 7. 记录当天新增问题、影响等级、处理人、结论和是否需要暂停。
 
+自动异机备份运维口径：
+
+1. 自动备份以 OA 仓库 runbook 首部“紧急恢复卡”为唯一短入口；公司知识库保存该卡副本，并指定系统管理员和一名替补操作人。
+2. 每日 02:30 生成数据库、附件、manifest 同批恢复点并推送 ARM；07:10 检查最近 24 小时异机成功状态。生产保留 7 个自动日批次，ARM 保留 7 个日批次和 4 个周检查点。
+3. ARM 专用身份只能写 inbox 和请求 finalize，不能登录 shell、读取或删除 archive。任何人不得为了省事改用普通 ARM 登录账号或关闭 known-hosts 固定校验。
+4. 企微只收脱敏异常：首次失败、恶化或新 finding 发送；同一失败降噪。季度提醒只要求人工在 ARM 隔离目标恢复，不会自动恢复生产。
+5. 当前仓库实现和本地合成合同不等于服务器已安装。ARM receiver、生产 units、首次真实批次、timer enable 和真实失败告警均为 **EXTERNAL_GATED**，必须逐阶段批准并回填证据。
+6. 每季度由替补操作人按恢复卡走查，至少能指出归档类别、三条恢复入口、`/ready` 和关键计数验收项。不能独立说明时，本季度恢复门禁不通过。
+7. 卸载 timer 或 receiver 时保留历史 archive 和源端完整批次；账号、密钥、备份数据的删除必须另行批准。
+
 WROAD2/WARCH3 企微受控上线每日巡检：
 
 1. 试用范围固定为测试账号 `SMOKE002 -> SMOKE101`，管理员观察和告警收件人为 `HYD000006`；`HYD000006` 是 `wangshunli` 的员工号，`wangshunli` 只作为姓名/账号别名记录。试用周期 3 天；WARCH3 可通过 `hyb-oa-warch3-ops.timer` 每天 07:30 自动触发。