如何在不保留加密密钥的情况下复制加密ZFS文件系统并实现压缩、快照保留等需求

你的思路是完全正确的，目前确实需要分两步来完成这个操作，具体原因和细节我给你梳理清楚：

具体操作步骤 #

假设源端加密文件系统为z/enc/a，目标端的父文件系统z/enc已经带有你想要继承的加密密钥，同时需要保留从@first到@last的快照、给目标端文件系统添加lz4压缩，操作如下：

1. 先发送初始快照，同时设置目标端的压缩属性，移除源端的加密属性，让目标端自动继承父文件系统的加密密钥：

ssh source sudo zfs send z/enc/a@first | sudo zfs receive -o compression=lz4 -x encryption z/enc/a

2. 再发送增量快照，同步后续的快照内容：

ssh source sudo zfs send z/enc/a@last -I @first | sudo zfs receive -F z/enc/a

验证结果是否符合预期 #

你可以用这条命令检查目标端的属性是否达标：

zfs list -r -t all -o name,compression,encryption,encryptionroot z/enc/a

重点看compression是否为lz4，encryptionroot是否指向目标端的父加密文件系统（而非源端的密钥信息）。

为什么不能用单步zfs send -R？ #

如果源文件系统未加密，你确实可以用单步命令完成压缩+加密迁移：

ssh source sudo zfs send -R z/t/a@last | sudo zfs receive -F -o compression=lz4 -x encryption z/enc/a

但针对加密数据集，直接用-R（递归发送所有属性）会触发报错：

cannot send z/enc/a@last: encrypted dataset z/enc/a may not be sent with properties without the raw flag

这是因为加密数据集的属性包含密钥相关信息，zfs send -R会尝试传递这些属性，但如果不加raw参数（而你又不想保留源端密钥）就会报错；可如果用raw模式，又会完整保留源端的加密属性，不符合你“继承目标端父文件系统密钥”的需求。所以目前只能通过分两步的方式实现你的目标。

备注：内容来源于stack exchange，提问作者user13097