Florian Wilde
4d826ef55f
Der Sicherungsdienst machte taeglich ein pg_dump und sonst nichts. Nach einem Plattenschaden waere die Akte vollstaendig wiederhergestellt worden - mit allen Eintraegen, Verweisen und Pruefsummen, aber ohne eine einzige Datei dahinter. Die Pruefsumme in der Akte haette dann ein Dokument belegt, das es nicht mehr gibt. Gegenueber dem Betreuungsgericht ist das der schlechteste denkbare Zustand. Je Lauf entstehen jetzt zwei verschluesselte Dateien mit demselben Zeitstempel: der Datenbankstand und ein Archiv des Ablageverzeichnisses. Beide mit Pruefsumme, beide in der Aufbewahrung, beide im Monatsstand, beide in der Selbstpruefung. Schlaegt der Dokumententeil fehl, bricht der Lauf ab und raeumt den angefangenen Datenbankstand wieder weg. Eine Sicherung, die nur die halbe Wahrheit enthaelt, aber vollstaendig aussieht, ist schlimmer als gar keine: Man verlaesst sich darauf und merkt es erst im Ernstfall. ## Abweichung von der urspruenglichen Idee Im Issue stand "mc mirror statt rohem Verzeichnis". Beim Umsetzen zeigte sich, dass der MinIO-Client in diesem Behaelter fehlt und bei jedem Lauf aus dem Netz geholt werden muesste. Eine Internetabhaengigkeit im Sicherungspfad ist genau das, was man dort nicht will. Stattdessen wird das Verzeichnis direkt eingepackt. Das ist vertretbar, weil MinIO ein Objekt erst vollstaendig unter .minio.sys/tmp schreibt und dann an seinen Platz umbenennt: Ein laufender Upload liegt nie halbfertig im Archiv, er fehlt hoechstens. Derselbe Weg deckt den Dateitreiber mit ab. ## Nur lesend Der Sicherungsdienst bekommt das Ablageverzeichnis mit ":ro" eingehaengt. Er laeuft unbeaufsichtigt per cron; ein Fehler im Skript oder ein kompromittierter Behaelter wuerde sonst Sicherung und Bestand auf einmal treffen - genau der Fall, gegen den eine Sicherung da ist. Deshalb schreibt die Wiederherstellung die Dateien auch nicht selbst an ihren Platz, sondern packt sie nach ./backups aus und gibt den letzten Handgriff als Einzeiler aus. In ein laufendes MinIO hineinzuschreiben wuerde dessen Datenbestand ohnehin beschaedigen. ## Geprueft Die Kernlogik einmal von Hand durchgespielt: packen, verschluesseln, Selbstpruefung, zurueckholen - der Inhalt kam bitgleich zurueck, der Klartext war im Archiv nicht auffindbar, und die Selbstpruefung schlug sowohl bei einem beschaedigten Archiv als auch bei falschem Passwort an. Dazu elf Pruefungen in tests/skripte.test.ts gegen vier Mutationen: Dokumententeil entfernt, Abbruch entfernt, Aufraeumen halbiert, Schreibrecht erteilt - jede wird rot. Refs #41
159 lines
6.9 KiB
Bash
Executable File
159 lines
6.9 KiB
Bash
Executable File
#!/bin/sh
|
|
# =============================================================================
|
|
# Taegliche Sicherung: Datenbank UND Dokumente
|
|
# =============================================================================
|
|
#
|
|
# Laeuft im Behaelter "sicherung" per cron um 03:15 Uhr. Von Hand:
|
|
#
|
|
# docker compose exec sicherung /bin/sh /sicherung.sh
|
|
#
|
|
# Was passiert:
|
|
# 1. pg_dump im eigenen Format (-Fc), damit einzelne Tabellen
|
|
# wiederherstellbar bleiben.
|
|
# 2. Die abgelegten Dokumente als Archiv.
|
|
# 3. Beides verschluesselt mit AES-256 und PBKDF2 aus SICHERUNG_PASSWORT.
|
|
# Das Backup liegt oft auf fremdem Speicher - unverschluesselt waere
|
|
# es ein Datenleck mit Ansage.
|
|
# 4. SHA-256-Pruefsumme je Datei.
|
|
# 5. Staende, die aelter sind als SICHERUNG_AUFBEWAHRUNG_TAGE, entfernen.
|
|
# Der jeweils erste Stand eines Monats bleibt stehen.
|
|
#
|
|
# ## Warum die Dokumente dazugehoeren
|
|
#
|
|
# Bis v1.11.0 sicherte dieses Skript nur die Datenbank. Nach einem
|
|
# Plattenschaden waere die Akte vollstaendig wiederhergestellt worden -
|
|
# mit allen Eintraegen, Verweisen und Pruefsummen, aber ohne eine einzige
|
|
# Datei dahinter. Die Pruefsumme in der Akte haette dann ein Dokument
|
|
# belegt, das es nicht mehr gibt. Gegenueber dem Betreuungsgericht ist das
|
|
# der schlechteste denkbare Zustand.
|
|
#
|
|
# ## Warum das Ablageverzeichnis roh eingepackt wird
|
|
#
|
|
# Der naheliegende Weg waere "mc mirror" aus dem MinIO-Client. Der ist in
|
|
# diesem Behaelter aber nicht vorhanden und muesste bei jedem Lauf aus dem
|
|
# Netz geholt werden - eine Internetabhaengigkeit im Sicherungspfad ist
|
|
# genau das, was man dort nicht will.
|
|
#
|
|
# Stattdessen wird das Datenverzeichnis direkt eingepackt. Das ist
|
|
# vertretbar, weil MinIO ein Objekt erst vollstaendig unter .minio.sys/tmp
|
|
# schreibt und dann an seinen Platz umbenennt: Ein laufender Upload liegt
|
|
# also nie halbfertig im Archiv, er fehlt hoechstens. Bei einem Lauf um
|
|
# 03:15 Uhr auf einem Einzelplatzsystem ist auch das unwahrscheinlich.
|
|
#
|
|
# Derselbe Weg deckt den Dateitreiber mit ab - dort liegen die Dateien
|
|
# ebenfalls einfach im Verzeichnis.
|
|
#
|
|
# WICHTIG: Dieses Backup enthaelt die verschluesselten Felder und die
|
|
# verschluesselten Dateien, aber NICHT den Schluessel ENC_KEY_V1. Ohne ihn
|
|
# sind Diagnosen, IBANs, Notizen und Dokumente auch aus einer
|
|
# wiederhergestellten Sicherung nicht lesbar. Den Schluessel getrennt
|
|
# sichern - Passwortmanager oder ausgedruckt im Ordner.
|
|
# =============================================================================
|
|
|
|
set -eu
|
|
|
|
ZIEL="${SICHERUNG_ZIEL:-/backups}"
|
|
AUFBEWAHRUNG="${SICHERUNG_AUFBEWAHRUNG_TAGE:-30}"
|
|
ZEITSTEMPEL="$(date +%Y-%m-%d_%H%M)"
|
|
TAG_IM_MONAT="$(date +%d)"
|
|
DATEI="$ZIEL/cockpit_${ZEITSTEMPEL}.dump.enc"
|
|
DOKUMENTE_DATEI="$ZIEL/dokumente_${ZEITSTEMPEL}.tar.gz.enc"
|
|
|
|
# Wo die Dokumente liegen. Der Behaelter bekommt das Ablageverzeichnis
|
|
# eingehaengt - siehe docker-compose.yml, Dienst "sicherung".
|
|
DOKUMENTE_QUELLE="${SICHERUNG_DOKUMENTE_QUELLE:-/dokumente}"
|
|
|
|
if [ -z "${SICHERUNG_PASSWORT:-}" ]; then
|
|
echo "$(date -Iseconds) FEHLER: SICHERUNG_PASSWORT ist nicht gesetzt. Abbruch." >&2
|
|
exit 1
|
|
fi
|
|
|
|
mkdir -p "$ZIEL"
|
|
|
|
echo "$(date -Iseconds) Sicherung beginnt: $DATEI"
|
|
|
|
# pg_dump schreibt direkt in die Verschluesselung - der Klartext landet
|
|
# nie auf der Platte.
|
|
pg_dump --format=custom --compress=6 --no-owner --no-privileges \
|
|
| openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt \
|
|
-pass env:SICHERUNG_PASSWORT \
|
|
-out "$DATEI"
|
|
|
|
GROESSE="$(du -h "$DATEI" | cut -f1)"
|
|
sha256sum "$DATEI" > "$DATEI.sha256"
|
|
|
|
echo "$(date -Iseconds) Datenbank gesichert ($GROESSE)"
|
|
|
|
# --- Dokumente ---------------------------------------------------------------
|
|
# Schlaegt dieser Teil fehl, bricht der ganze Lauf ab (set -e). Das ist
|
|
# Absicht: Eine Sicherung, die nur die halbe Wahrheit enthaelt, aber
|
|
# vollstaendig aussieht, ist schlimmer als gar keine - man verlaesst sich
|
|
# darauf und merkt es erst im Ernstfall.
|
|
if [ ! -d "$DOKUMENTE_QUELLE" ]; then
|
|
echo "$(date -Iseconds) FEHLER: Das Ablageverzeichnis $DOKUMENTE_QUELLE ist nicht eingehaengt." >&2
|
|
echo " Ohne die Dokumente ist die Sicherung unvollstaendig." >&2
|
|
echo " Siehe docker-compose.yml, Dienst \"sicherung\"." >&2
|
|
rm -f "$DATEI" "$DATEI.sha256"
|
|
exit 1
|
|
fi
|
|
|
|
# "tar" ohne Leitung an einen Verbraucher, der frueh schliesst - sonst
|
|
# SIGPIPE, siehe die Anmerkung zur Selbstpruefung weiter unten.
|
|
tar -czf - -C "$DOKUMENTE_QUELLE" . | openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt -pass env:SICHERUNG_PASSWORT -out "$DOKUMENTE_DATEI"
|
|
|
|
DOK_GROESSE="$(du -h "$DOKUMENTE_DATEI" | cut -f1)"
|
|
sha256sum "$DOKUMENTE_DATEI" > "$DOKUMENTE_DATEI.sha256"
|
|
|
|
echo "$(date -Iseconds) Dokumente gesichert ($DOK_GROESSE)"
|
|
|
|
# Der jeweils erste Stand eines Monats bekommt eine Markierung und bleibt
|
|
# beim Aufraeumen verschont. Beide Teile, sonst faellt die Haelfte weg.
|
|
if [ "$TAG_IM_MONAT" = "01" ]; then
|
|
touch "$DATEI.monatsstand" "$DOKUMENTE_DATEI.monatsstand"
|
|
fi
|
|
|
|
# --- Aufraeumen --------------------------------------------------------------
|
|
ENTFERNT=0
|
|
for alt in "$ZIEL"/cockpit_*.dump.enc "$ZIEL"/dokumente_*.tar.gz.enc; do
|
|
[ -e "$alt" ] || continue
|
|
[ -e "$alt.monatsstand" ] && continue
|
|
|
|
if [ -n "$(find "$alt" -mtime "+$AUFBEWAHRUNG" 2>/dev/null)" ]; then
|
|
rm -f "$alt" "$alt.sha256"
|
|
ENTFERNT=$((ENTFERNT + 1))
|
|
fi
|
|
done
|
|
|
|
[ "$ENTFERNT" -gt 0 ] && echo "$(date -Iseconds) $ENTFERNT alte Staende entfernt"
|
|
|
|
# --- Selbstpruefung ----------------------------------------------------------
|
|
# Ein Backup, das sich nicht entschluesseln laesst, ist kein Backup.
|
|
# Deshalb wird sofort geprueft, ob die Datei wieder lesbar ist.
|
|
# Kein "| head -c 5 | grep -q": Beide schliessen die Leitung, sobald sie
|
|
# genug haben. openssl schreibt dann in ein geschlossenes Rohr, bekommt
|
|
# SIGPIPE - und mit "set -o pipefail" gilt die ganze Kette als
|
|
# gescheitert. Bei einer kleinen Datenbank faellt das nicht auf, weil
|
|
# alles schon im Puffer steht; mit wachsender Datenbank kippt es, und
|
|
# dann meldet die Selbstpruefung eine INTAKTE Sicherung als kaputt.
|
|
#
|
|
# "dd" liest eine feste Menge und beendet sich regulaer.
|
|
KOPF="$(openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
|
|
-pass env:SICHERUNG_PASSWORT -in "$DATEI" 2>/dev/null \
|
|
| dd bs=1 count=5 2>/dev/null || true)"
|
|
|
|
if [ "$KOPF" != "PGDMP" ]; then
|
|
echo "$(date -Iseconds) FEHLER: Der Datenbankstand laesst sich nicht entschluesseln!" >&2
|
|
exit 1
|
|
fi
|
|
|
|
# Dasselbe fuer die Dokumente: entschluesseln und das Archiv auflisten
|
|
# lassen. "tar -tzf" liest die ganze Datei und meldet jeden Schaden - das
|
|
# ist bei den Groessenordnungen hier bezahlbar und sagt mehr aus als ein
|
|
# Blick auf die ersten Bytes.
|
|
if ! openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 -pass env:SICHERUNG_PASSWORT -in "$DOKUMENTE_DATEI" 2>/dev/null | tar -tzf - >/dev/null 2>&1; then
|
|
echo "$(date -Iseconds) FEHLER: Das Dokumentenarchiv laesst sich nicht lesen!" >&2
|
|
exit 1
|
|
fi
|
|
|
|
echo "$(date -Iseconds) Selbstpruefung bestanden - Datenbank und Dokumente."
|