シェルスクリプトでバックアップの整合性を自動検証する設計｜sha256sumとgzip -tで破損を検知する実践パターン

この記事のポイント

・sha256sum -c でチェックサムを照合し、バックアップファイルのビット破損を自動検知できる
・tar -tzf でgzip圧縮とtarアーカイブ構造を1コマンドで走査し、読み出し不能な破損を発見できる
・一時ディレクトリへ展開してファイル数・サイズを検証するリストアテストで「実際に展開できる」まで確認できる
・trap EXIT を使うとエラー時・正常終了時の両方で一時ファイル削除と通知を確実に実行できる

#!/bin/bash
# backup_with_checksum.sh — バックアップ実行＋チェックサム生成

BACKUP_DIR="/backup/daily"
TARGET="/var/lib/myapp/data"
DATE=$(date +%Y%m%d)
ARCHIVE="${BACKUP_DIR}/data_${DATE}.tar.gz"

mkdir -p "${BACKUP_DIR}"
tar -czf "${ARCHIVE}" "${TARGET}"

# チェックサムファイルを生成（ファイル名のみ渡すため cd する）
cd "${BACKUP_DIR}"
sha256sum "$(basename "${ARCHIVE}")" > "$(basename "${ARCHIVE}").sha256"

echo "バックアップ完了: ${ARCHIVE}"
echo "チェックサム: $(cat "$(basename "${ARCHIVE}").sha256")"

$ cat /backup/daily/data_20261013.tar.gz.sha256
a3f8c1d9e2b074563...（64桁のSHA-256ハッシュ）  data_20261013.tar.gz

# チェックサムファイルのあるディレクトリに移動してから照合する
cd /backup/daily
sha256sum -c data_20261013.tar.gz.sha256

# 正常時
$ sha256sum -c data_20261013.tar.gz.sha256
data_20261013.tar.gz: OK

# 破損時（ファイルが途中から変化している）
$ sha256sum -c data_20261013.tar.gz.sha256
data_20261013.tar.gz: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

# gzip圧縮の整合性を確認する（-vで詳細表示）
gzip -t /backup/daily/data_20261013.tar.gz
echo "終了コード: $?"

# 詳細表示付き
gzip -tv /backup/daily/data_20261013.tar.gz

# 正常時（-v 付き）
$ gzip -tv /backup/daily/data_20261013.tar.gz
/backup/daily/data_20261013.tar.gz:  OK

# 末尾が切れたファイルの場合
$ gzip -tv /backup/daily/data_20261013.tar.gz
/backup/daily/data_20261013.tar.gz:
gzip: /backup/daily/data_20261013.tar.gz: unexpected end of file

# tar -tzf でアーカイブ全体を走査（/dev/null に捨てることで内容を表示しない）
tar -tzf /backup/daily/data_20261013.tar.gz > /dev/null
echo "終了コード: $?"

# 正常時
$ tar -tzf /backup/daily/data_20261013.tar.gz > /dev/null
$ echo $?
0

# アーカイブ途中でブロックが壊れている場合
$ tar -tzf /backup/daily/data_20261013.tar.gz > /dev/null
tar: Unexpected EOF in archive
tar: Error is not recoverable: exiting now
$ echo $?
2

RESTORE_TMP="/tmp/restore_test_$$"   # $$ = このスクリプトのPID
mkdir -p "${RESTORE_TMP}"

# -C オプションで展開先ディレクトリを指定する
tar xzf /backup/daily/data_20261013.tar.gz -C "${RESTORE_TMP}"
echo "展開完了: ${RESTORE_TMP}"

EXPECTED_MIN_FILES=100     # 展開後に期待する最低ファイル数
EXPECTED_MIN_BYTES=1048576 # 展開後に期待する最低サイズ（1MB）

file_count=$(find "${RESTORE_TMP}" -type f | wc -l)
total_bytes=$(du -sb "${RESTORE_TMP}" | cut -f1)

echo "展開ファイル数: ${file_count}, 総サイズ: ${total_bytes} bytes"

if [ "${file_count}" -lt "${EXPECTED_MIN_FILES}" ]; then
    echo "ERROR: ファイル数が期待値を下回っています（${file_count} < ${EXPECTED_MIN_FILES}）"
    exit 1
fi

if [ "${total_bytes}" -lt "${EXPECTED_MIN_BYTES}" ]; then
    echo "ERROR: 展開サイズが期待値を下回っています（${total_bytes} < ${EXPECTED_MIN_BYTES}）"
    exit 1
fi

echo "内容確認 OK"

RESTORE_TMP="/tmp/restore_test_$$"

cleanup() {
    local exit_code=$?
    rm -rf "${RESTORE_TMP}"
    if [ "${exit_code}" -ne 0 ]; then
        echo "リストアテスト失敗（終了コード: ${exit_code}）" >&2
    fi
}

# EXITシグナルに登録（どの終了パターンでも必ず実行される）
trap cleanup EXIT

# ERRシグナルで任意のコマンドが非ゼロを返した時に発動
trap 'on_error "$LINENO"' ERR

on_error() {
    local line=$1
    echo "[ERROR] 検証失敗 (line: ${line}) — ${CURRENT_FILE}" >&2
    # mailコマンドで通知（要sendmail/postfix設定）
    echo "バックアップ検証失敗: ${CURRENT_FILE} (line: ${line})" \
        | mail -s "[ALERT] backup verify failed on $(hostname)" admin@example.com
    exit 1
}

#!/bin/bash
# verify_backup.sh — バックアップ整合性自動検証スクリプト（リストアテスト対応版）
# 使い方: ./verify_backup.sh /backup/daily

set -euo pipefail

BACKUP_DIR="${1:?使い方: $0 バックアップディレクトリ}"
LOG_FILE="/var/log/backup_verify.log"
NOTIFY_TO="admin@example.com"
CURRENT_FILE=""
RESTORE_TMP=""

# リストアテストの基準値（事前に正常バックアップで計測して設定する）
EXPECTED_MIN_FILES=100       # 期待する最低ファイル数
EXPECTED_MIN_BYTES=1048576   # 期待する最低サイズ（1MB）

log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $*" | tee -a "${LOG_FILE}"
}

cleanup() {
    local exit_code=$?
    if [[ -n "${RESTORE_TMP}" && -d "${RESTORE_TMP}" ]]; then
        log "  クリーンアップ: ${RESTORE_TMP} を削除"
        rm -rf "${RESTORE_TMP}"
    fi
}

on_error() {
    local line=$1
    log "ERROR: 検証失敗 (line: ${line}) — ファイル: ${CURRENT_FILE}"
    echo "バックアップ検証失敗: ${CURRENT_FILE} (line: ${line}) on $(hostname)" \
        | mail -s "[ALERT] backup verify failed" "${NOTIFY_TO}" 2>/dev/null || true
}

# EXITで一時ディレクトリを確実に削除、ERRで障害通知
trap cleanup EXIT
trap 'on_error "$LINENO"' ERR

log "検証開始: ${BACKUP_DIR}"

# バックアップディレクトリの存在確認
if [[ ! -d "${BACKUP_DIR}" ]]; then
    log "ERROR: ディレクトリが存在しません: ${BACKUP_DIR}"
    exit 1
fi

FAILED=0
SUCCESS=0

# .sha256 ファイルを基点に対応するアーカイブを検証する
for SHA_FILE in "${BACKUP_DIR}"/*.sha256; do
    [[ -e "${SHA_FILE}" ]] || { log "WARN: .sha256ファイルが見つかりません"; break; }

    ARCHIVE="${SHA_FILE%.sha256}"
    CURRENT_FILE="${ARCHIVE}"

    if [[ ! -f "${ARCHIVE}" ]]; then
        log "ERROR: アーカイブが存在しません: ${ARCHIVE}"
        FAILED=$((FAILED + 1))
        continue
    fi

    log "--- 検証中: $(basename "${ARCHIVE}") ---"

    # Step 1: sha256sum チェックサム照合
    log "  [1/3] sha256sum照合..."
    cd "$(dirname "${ARCHIVE}")"
    if sha256sum -c "$(basename "${SHA_FILE}")" > /dev/null 2>&1; then
        log "  sha256sum: OK"
    else
        log "  ERROR: sha256sum照合失敗"
        FAILED=$((FAILED + 1))
        continue
    fi

    # Step 2: tar アーカイブ構造の走査
    log "  [2/3] tar構造走査..."
    if tar -tzf "${ARCHIVE}" > /dev/null 2>&1; then
        log "  tar -tzf: OK"
    else
        log "  ERROR: tarアーカイブ破損"
        FAILED=$((FAILED + 1))
        continue
    fi

    # Step 3: リストアテスト（実際に展開してファイル数・サイズを確認）
    log "  [3/3] リストアテスト..."
    RESTORE_TMP="/tmp/restore_test_$$_$(basename "${ARCHIVE}" .tar.gz)"
    mkdir -p "${RESTORE_TMP}"
    if tar xzf "${ARCHIVE}" -C "${RESTORE_TMP}" > /dev/null 2>&1; then
        file_count=$(find "${RESTORE_TMP}" -type f | wc -l)
        total_bytes=$(du -sb "${RESTORE_TMP}" | cut -f1)
        log "  展開結果: ファイル数=${file_count}, サイズ=${total_bytes}bytes"
        if [ "${file_count}" -lt "${EXPECTED_MIN_FILES}" ]; then
            log "  ERROR: ファイル数が期待値を下回っています（${file_count} < ${EXPECTED_MIN_FILES}）"
            FAILED=$((FAILED + 1))
        elif [ "${total_bytes}" -lt "${EXPECTED_MIN_BYTES}" ]; then
            log "  ERROR: サイズが期待値を下回っています（${total_bytes} < ${EXPECTED_MIN_BYTES}）"
            FAILED=$((FAILED + 1))
        else
            log "  リストアテスト: OK"
            SUCCESS=$((SUCCESS + 1))
        fi
    else
        log "  ERROR: 展開失敗"
        FAILED=$((FAILED + 1))
    fi
    # cleanup trapで一時ディレクトリは自動削除される
done

log "検証完了: 正常=${SUCCESS} / 失敗=${FAILED}"

if [[ "${FAILED}" -gt 0 ]]; then
    echo "バックアップ検証結果: 失敗${FAILED}件 on $(hostname) — ${BACKUP_DIR}" \
        | mail -s "[ALERT] backup verify: ${FAILED} failed" "${NOTIFY_TO}" 2>/dev/null || true
    exit 1
fi

exit 0

# バックアップ実行: 毎日 02:00
0 2 * * * /usr/local/bin/backup_with_checksum.sh

# チェックサム+構造検証（軽量）: 毎日 06:00
0 6 * * * /usr/local/bin/verify_backup.sh /backup/daily

# リストアテスト含む完全検証: 毎週月曜 03:00（ディスク消費を考慮して週次）
0 3 * * 1 /usr/local/bin/verify_backup.sh /backup/daily

# 生成時：ディレクトリに移動してからファイル名だけで生成
cd /backup/daily
sha256sum data_20261013.tar.gz > data_20261013.tar.gz.sha256

# 照合時：同じディレクトリで実行
cd /backup/daily
sha256sum -c data_20261013.tar.gz.sha256

# /tmp の空き容量確認
df -h /tmp
# Filesystem      Size  Used Avail Use% Mounted on
# tmpfs           1.8G  1.6G  200M  89% /tmp

# /var/tmp を代わりに使う（再起動後も残るため手動削除が必要）
RESTORE_TMP="/var/tmp/restore_test_$$"

# NG: if文の条件でset -eのtrapが発動しない
if sha256sum -c "${SHA_FILE}"; then
    ...
fi

# OK: 別途実行してから結果を判定する
sha256sum -c "${SHA_FILE}"   # ここで失敗するとtrap ERRが発動する

# タイムゾーン確認
timedatectl | grep "Time zone"
#   Time zone: Asia/Tokyo (JST, +0900)

# バックアップファイルの命名規則を確認
ls -lt /backup/daily/*.tar.gz | head -5

# 最新のファイルを動的に取得する方法（命名規則が不定の場合）
ARCHIVE=$(ls -t /backup/daily/*.tar.gz | head -1)