シェルスクリプトでバックアップの整合性を自動検証する設計｜sha256sumとgzip -tで破損を検知する実践パターン

この記事のポイント

・sha256sum -c でチェックサムを照合し、バックアップファイルのビット破損を自動検知できる
・tar -tzf でgzip圧縮とtarアーカイブ構造を1コマンドで走査し、読み出し不能な破損を発見できる
・trap ERR を設定すると検証失敗時に自動通知が走り、無言の障害を防げる
・バックアップ直後にチェックサム生成→翌日に照合というパターンが設計の基本形

#!/bin/bash
# backup_with_checksum.sh — バックアップ実行＋チェックサム生成

BACKUP_DIR="/backup/daily"
TARGET="/var/lib/myapp/data"
DATE=$(date +%Y%m%d)
ARCHIVE="${BACKUP_DIR}/data_${DATE}.tar.gz"

mkdir -p "${BACKUP_DIR}"
tar -czf "${ARCHIVE}" "${TARGET}"

# チェックサムファイルを生成（アーカイブと同じディレクトリに置く）
sha256sum "${ARCHIVE}" > "${ARCHIVE}.sha256"

echo "バックアップ完了: ${ARCHIVE}"
echo "チェックサム: $(cat "${ARCHIVE}.sha256")"

$ cat /backup/daily/data_20260825.tar.gz.sha256
a3f8c1d9e2b074563...（64桁のSHA-256ハッシュ）  /backup/daily/data_20260825.tar.gz

# チェックサムファイルのあるディレクトリに移動してから照合する
cd /backup/daily
sha256sum -c data_20260825.tar.gz.sha256

# 正常時
$ sha256sum -c data_20260825.tar.gz.sha256
data_20260825.tar.gz: OK

# 破損時（ファイルが途中から変化している）
$ sha256sum -c data_20260825.tar.gz.sha256
data_20260825.tar.gz: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

# gzip圧縮の整合性を確認する（-vで詳細表示）
gzip -t /backup/daily/data_20260825.tar.gz
echo "終了コード: $?"

# 詳細表示付き
gzip -tv /backup/daily/data_20260825.tar.gz

# 正常時（-v 付き）
$ gzip -tv /backup/daily/data_20260825.tar.gz
/backup/daily/data_20260825.tar.gz:  OK

# 末尾が切れたファイルの場合
$ gzip -tv /backup/daily/data_20260825.tar.gz
/backup/daily/data_20260825.tar.gz:
gzip: /backup/daily/data_20260825.tar.gz: unexpected end of file

# tar -tzf でアーカイブ全体を走査（/dev/null に捨てることで内容を表示しない）
tar -tzf /backup/daily/data_20260825.tar.gz > /dev/null
echo "終了コード: $?"

# 正常時
$ tar -tzf /backup/daily/data_20260825.tar.gz > /dev/null
$ echo $?
0

# アーカイブ途中でブロックが壊れている場合
$ tar -tzf /backup/daily/data_20260825.tar.gz > /dev/null
tar: Unexpected EOF in archive
tar: Error is not recoverable: exiting now
$ echo $?
2

# ERRシグナルで任意のコマンドが非ゼロを返した時に発動
trap 'on_error "$LINENO"' ERR

on_error() {
    local line=$1
    echo "[ERROR] 検証失敗 (line: ${line}) — ${CURRENT_FILE}" >&2
    # mailコマンドで通知（要sendmail/postfix設定）
    echo "バックアップ検証失敗: ${CURRENT_FILE} (line: ${line})" \
        | mail -s "[ALERT] backup verify failed on $(hostname)" admin@example.com
    exit 1
}

#!/bin/bash
# verify_backup.sh — バックアップ整合性自動検証スクリプト
# 使い方: ./verify_backup.sh /backup/daily

set -euo pipefail

BACKUP_DIR="${1:?使い方: $0 バックアップディレクトリ}"
LOG_FILE="/var/log/backup_verify.log"
NOTIFY_TO="admin@example.com"
CURRENT_FILE=""

log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $*" | tee -a "${LOG_FILE}"
}

on_error() {
    local line=$1
    log "ERROR: 検証失敗 (line: ${line}) — ファイル: ${CURRENT_FILE}"
    echo "バックアップ検証失敗: ${CURRENT_FILE} (line: ${line}) on $(hostname)" \
        | mail -s "[ALERT] backup verify failed" "${NOTIFY_TO}" 2>/dev/null || true
}

trap 'on_error "$LINENO"' ERR

log "検証開始: ${BACKUP_DIR}"

# バックアップディレクトリの存在確認
if [[ ! -d "${BACKUP_DIR}" ]]; then
    log "ERROR: ディレクトリが存在しません: ${BACKUP_DIR}"
    exit 1
fi

FAILED=0
SUCCESS=0

# .sha256 ファイルを基点に対応するアーカイブを検証する
for SHA_FILE in "${BACKUP_DIR}"/*.sha256; do
    [[ -e "${SHA_FILE}" ]] || { log "WARN: .sha256ファイルが見つかりません"; break; }

    ARCHIVE="${SHA_FILE%.sha256}"
    CURRENT_FILE="${ARCHIVE}"

    if [[ ! -f "${ARCHIVE}" ]]; then
        log "ERROR: アーカイブが存在しません: ${ARCHIVE}"
        FAILED=$((FAILED + 1))
        continue
    fi

    log "--- 検証中: $(basename "${ARCHIVE}") ---"

    # Step 1: sha256sum チェックサム照合
    log "  [1/2] sha256sum照合..."
    cd "$(dirname "${ARCHIVE}")"
    if sha256sum -c "$(basename "${SHA_FILE}")" > /dev/null 2>&1; then
        log "  sha256sum: OK"
    else
        log "  ERROR: sha256sum照合失敗"
        FAILED=$((FAILED + 1))
        continue
    fi

    # Step 2: tar アーカイブ構造の走査
    log "  [2/2] tar構造走査..."
    if tar -tzf "${ARCHIVE}" > /dev/null 2>&1; then
        log "  tar -tzf: OK"
    else
        log "  ERROR: tarアーカイブ破損"
        FAILED=$((FAILED + 1))
        continue
    fi

    log "  結果: 正常"
    SUCCESS=$((SUCCESS + 1))
done

log "検証完了: 正常=${SUCCESS} / 失敗=${FAILED}"

if [[ "${FAILED}" -gt 0 ]]; then
    echo "バックアップ検証結果: 失敗${FAILED}件 on $(hostname) — ${BACKUP_DIR}" \
        | mail -s "[ALERT] backup verify: ${FAILED} failed" "${NOTIFY_TO}" 2>/dev/null || true
    exit 1
fi

exit 0

# バックアップ実行: 毎日 02:00
0 2 * * * /usr/local/bin/backup_with_checksum.sh

# 検証実行: 毎日 06:00（バックアップ完了後に余裕を持って実行）
0 6 * * * /usr/local/bin/verify_backup.sh /backup/daily

# 生成時：ディレクトリに移動してからファイル名だけで生成
cd /backup/daily
sha256sum data_20260825.tar.gz > data_20260825.tar.gz.sha256

# 照合時：同じディレクトリで実行
cd /backup/daily
sha256sum -c data_20260825.tar.gz.sha256

# NG: if文の条件でset -eのtrapが発動しない
if sha256sum -c "${SHA_FILE}"; then
    ...
fi

# OK: 別途実行してから結果を判定する
sha256sum -c "${SHA_FILE}"   # ここで失敗するとtrap ERRが発動する