# Borgmatic [Borgmatic](https://torsion.org/borgmatic/) est un *wrapper* autour de [Borg](/books/administration-syst%C3%A8mes/page/borg) qui en simplifie infiniment l’utilisation. ## Installation Il nous faut d’abord Borg (utilisez la version des [backports Debian](https://backports.debian.org/Instructions/) si vous êtes encore en *stretch*) : ```bash apt install borgbackup ``` D’habitude, je préfère utiliser les paquets Debian, mais la version pip de Borgmatic apporte une option en plus que j’apprécie particulièrement. ```bash apt install python3-pip pip3 install borgmatic ``` ## Configuration C’est là que Borgmatic est pratique : il permet une configuration très simple de Borg. Générez un fichier de configuration : ```bash generate-borgmatic-config ``` Cela créera le fichier `/etc/borgmatic/config.yaml`. Si vous souhaitez que la configuration soit dans un autre fichier : ```bash generate-borgmatic-config -d /etc/borgmatic/autre_config.yaml ``` La configuration générée ([exemple](https://torsion.org/borgmatic/docs/reference/configuration/)) est très simple à comprendre et auto-documentée, je ne vais l’expliquer, je vais me contenter d’en mettre certains points en valeur ### Le dépôt On le verra plus bas, j’utilise un serveur distant pour faire les sauvegardes. Donc : ```yaml location: repositories: - borg@server:/var/lib/borg/depot/ ``` ### La *passphrase* Choisissez quelque chose de costaud et sauvegardez-là [quelque part](/books/administration-syst%C3%A8mes/page/bitwarden_rs) ! ```yaml storage: encryption_passphrase: "foo-bar-baz" ``` ### Utilisation d’une clé SSH particulière Je crée plus bas une clé SSH dédiée pour Borg pour faire les sauvegardes sur le serveur distant. Il faut donc que j’indique à Borgmatic que je souhaite utiliser cette clé. ```yaml storage: ssh_command: ssh -i /root/.ssh/id_borgmatic ``` ### Les hooks Situés à la fin du fichier de configuration, il s’agit d’actions qui seront effectuées avant et après la sauvegarde, ou en cas de problème lors de l’exécution. Personnellement, j’aime bien avoir la liste de mes sauvegardes après qu’une sauvegarde soit effectuée. Je vais donc écrire : ```yaml hooks: after_backup: - /usr/local/bin/borgmatic list ``` Comme il est conseillé d’exporter la clé du dépôt borg, je mets aussi ceci dans les `hooks` : ```yaml before_backup: - borg key export borg@server:/var/lib/borg/depot/ /etc/ssl/private/borg.key ``` ### Rétention et vérification du dépôt et des archives Je fais ça sur le serveur, j’y reviendrai plus loin. ### Cron On crée un petit cron (avec l’utilisateur `root`) pour sauvegarder régulièrement l’ordinateur : ```cron 35 0 * * * borgmatic create -c /etc/borgmatic/mon_pc.yaml --stats 2>&1 ``` Si ce n’est pas un serveur allumé 24h/24, il est préférable de mettre ça dans `/etc/anacrontab` : ```cron @daily 15 backup borgmatic create -c /etc/borgmatic/mon_pc.yaml --stats 2>&1 ``` Cela lancera le backup tous les jours, 15 minutes après le démarrage du pc. Ou plus tard. Attention, sur Debian, les tâches anacron ne sont lancées que si vous êtes sur secteur ! Pour changer ça, reportez-vous au fichier `/usr/share/doc/anacron/README.Debian`. ## Préparation du serveur du dépôt distant Je préfère faire mes sauvegardes sur un disque distant : si mon disque lâche, j’aurai toujours mes sauvegardes. Pour ce faire, je crée une clé dédiée sur l’ordinateur à sauvegarder, sans mot de passe vu que borgmatic va tourner automatiquement : ```bash ssh-keygen -o -a 100 -t ed25519 -f /root/.ssh/id_borgmatic -N '' ``` **Sur le serveur de sauvegarde**, j’installe Borg et Borgmatic comme précédemment puis je crée un utilisateur `borg` : ```bash adduser --system --home /var/lib/borg --shell /bin/bash --disabled-password borg mkdir /var/lib/borg/.ssh chmod 700 /var/lib/borg/.ssh touch /var/lib/borg/.ssh/authorized_keys chmod 600 /var/lib/borg/.ssh/authorized_keys chown -R borg: /var/lib/borg/.ssh ``` Et je mets la clé publique créée précédemment dans `/var/lib/borg/.ssh/authorized_keys`, avec quelques restrictions : ```bash command="/usr/bin/borg --umask=077 --info serve --append-only --restrict-to-repository /var/lib/borg/becky2/",restrict ssh-ed25519 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX root@mon_pc ``` On génère une configuration : ```bash generate-borgmatic-config -d /etc/borgmatic/mon_pc.yaml ``` Et c’est dans cette configuration qu’on va configurer les durées de rétention et les vérifications du dépôt et des archives. ### Rétention C’est très simple. Pour garder un backup par mois sur les 6 derniers mois, un par semaine sur les 8 dernières semaines et un par jour sur les 14 derniers jours, il suffit de : ```yaml retention: keep_daily: 14 keep_weekly: 8 keep_monthly: 6 ``` Comme Borg déduplique comme un monstre, cela ne prendra pas énormément de place (sauf si vous sauvegardez des trucs qui changent tout le temps) ### Vérification du dépôt et des archives Cela permet de s’assurer que votre dépôt et vos archives sont utilisables et non corrompus. Je me contente de décommenter la configuration proposée : ```yaml consistency: checks: - repository - archives check_last: 3 ``` J’ai laissé `check_last` à 3 car vérifier toutes les archives peut être fort long. Donc une vérification des 3 dernières devrait faire l’affaire, surtout si on vérifie quotidiennement. ### Dépôt Attention, comme on est là sur le serveur distant, il faut lui donner un dossier local ! ```yaml location: repositories: - /var/lib/borg/depot/ ``` ### Script de suppression d’anciennes sauvegardes / vérification des archives Il y a des éléments dans ce script qui prendront tout leur sens plus tard. **NOTA BENE** : ce script est tout à fait adaptable à un usage à Borg sans Borgmatic. On prépare le terrain : ```bash apt install libcpanel-json-xs-perl mkdir -P /opt/borgmatic-stats/tmp/ /opt/borgmatic-stats/json/ cd /opt/borgmatic-stats/ wget https://framagit.org/snippets/3716/raw -O verify-archives.pl chmod 700 -R /opt/borgmatic-stats/ chown borg: -R /opt/borgmatic-stats/ ``` Puis on met ceci dans `/opt/borgmatic_prune_and_check.sh` : ```bash #!/bin/bash cat < /opt/borgmatic-stats/tmp/mon_pc.json.tmp CONTINUE=0 if [[ -e /opt/borgmatic-stats/json/mon_pc.json ]] then echo "Checking repository consistency." CONTINUE=$(/opt/borgmatic-stats/verify-archives.pl --old /opt/borgmatic-stats/json/mon_pc.json --new /opt/borgmatic-stats/tmp/mon_pc.json.tmp) echo "Repository consistency checked." else CONTINUE=1 fi if [[ $CONTINUE == '1' ]] then ## Check /usr/local/bin/borgmatic check -c /etc/borgmatic/mon_pc.yaml 2>&1 && \ echo "Repository checked." && \ ## Allow pruning borg config /var/lib/borg/depot/ append_only 0 && \ ## Prune /usr/local/bin/borgmatic prune -c /etc/borgmatic/mon_pc.yaml --stats 2>&1 && \ echo "Repository pruned." ## List echo "Borg archives of mon_pc:" /usr/local/bin/borgmatic list -c /etc/borgmatic/mon_pc.yaml 2>&1 /usr/local/bin/borgmatic list -c /etc/borgmatic/mon_pc.yaml --json > /opt/borgmatic-stats/json/mon_pc.json ## Disallow pruning borg config /var/lib/borg/depot/ append_only 1 echo '' else cat <