シェルスクリプトで設定ファイルを安全に更新する設計｜バックアップ・原子的置換・trapロールバックの実装パターン

この記事のポイント

・mktemp + mvの原子的置換で設定ファイルの破損リスクをなくせる
・trapをEXITに仕込むと失敗時にバックアップから自動ロールバックできる
・diffで差分確認してからmvする設計にすると意図しない変更を防げる
・バックアップの世代管理をfindで自動化することでディスク枯渇も防げる

# ❌ 危険パターン1: 同じファイルを入力・出力に使う（確実に設定が消える）
grep -v 'old_key' /etc/myapp.conf > /etc/myapp.conf

# ❌ 危険パターン2: sed -i の直接書き換え（書き込み途中に失敗すると壊れる）
sed -i 's/listen_port=8080/listen_port=9090/' /etc/myapp.conf

CONF="/etc/myapp/myapp.conf"

# 元ファイルと同じディレクトリに一時ファイルを作成する（重要）
TMP=$(mktemp "${CONF}.XXXXXX")

# sedの出力を一時ファイルへ（元ファイルは変更しない）
sed 's/listen_port=8080/listen_port=9090/' "${CONF}" > "${TMP}"

$ diff -u "${CONF}" "${TMP}"
--- /etc/myapp/myapp.conf    2026-09-18 12:00:00.000000000 +0900
+++ /etc/myapp/myapp.conf.aBc123    2026-09-19 03:00:00.000000000 +0900
@@ -5,7 +5,7 @@
 log_level=info
-listen_port=8080
+listen_port=9090
 max_connections=100

# set -e 環境でdiffを安全に使う
diff_out=$(diff -u "${CONF}" "${TMP}" || true)

if [[ -z "${diff_out}" ]]; then
    echo "差分なし。変更をスキップします"
    rm -f "${TMP}"
    exit 0
fi

echo "適用する差分:"
echo "${diff_out}"

# 原子的置換（同一ファイルシステム内であれば一瞬で完了）
mv "${TMP}" "${CONF}"

# mv成功後はTMPが存在しないのでtrapのクリーンアップ対象から外す
TMP=""

echo "設定ファイルを更新しました: ${CONF}"

BACKUP_DIR="/var/backup/conf"
DATE=$(date +"%Y%m%d_%H%M%S")
BACKUP="${BACKUP_DIR}/$(basename "${CONF}").${DATE}.bak"

mkdir -p "${BACKUP_DIR}"
cp "${CONF}" "${BACKUP}"
echo "バックアップ作成: ${BACKUP}"

$ ls -lt /var/backup/conf/
-rw-r--r-- 1 root root 2340 Sep 19 03:00 myapp.conf.20260919_030001.bak
-rw-r--r-- 1 root root 2335 Sep 18 03:00 myapp.conf.20260918_030001.bak
-rw-r--r-- 1 root root 2320 Sep 17 03:00 myapp.conf.20260917_030001.bak

KEEP_BACKUPS=30  # 30世代（日次実行なら約1ヶ月分）
CONF_BASENAME=$(basename "${CONF}")

# タイムスタンプ順で新しい順に並べ、KEEP_BACKUPS件目以降を削除
ls -1t "${BACKUP_DIR}/${CONF_BASENAME}.*.bak" 2>/dev/null     | tail -n +$((KEEP_BACKUPS + 1))     | while read -r OLD_BK; do
        echo "古いバックアップを削除: ${OLD_BK}"
        rm -f "${OLD_BK}"
    done

#!/bin/bash
set -euo pipefail

# ── 設定 ─────────────────────────────────────────────────
CONF="/etc/myapp/myapp.conf"
BACKUP_DIR="/var/backup/conf"
KEEP_BACKUPS=30
DATE=$(date +"%Y%m%d_%H%M%S")
CONF_BASENAME=$(basename "${CONF}")
BACKUP="${BACKUP_DIR}/${CONF_BASENAME}.${DATE}.bak"
TMP=""

# ── ログ関数 ─────────────────────────────────────────────
log()       { echo "[$(date +'%Y-%m-%d %H:%M:%S')] $*"; }
log_error() { log "ERROR: $*" >&2; }

# ── クリーンアップ関数（trap先） ──────────────────────────
_cleanup() {
    local code=$?
    # 一時ファイルが残っていれば削除（通常はmvで消えているが異常終了時は残る）
    if [[ -n "${TMP}" && -f "${TMP}" ]]; then
        rm -f "${TMP}"
    fi
    if [[ $code -ne 0 ]]; then
        log_error "更新に失敗しました（終了コード: ${code}）"
        if [[ -f "${BACKUP}" ]]; then
            log "バックアップから復元します: ${BACKUP}"
            cp "${BACKUP}" "${CONF}"
            log "復元完了"
        fi
    fi
}
trap _cleanup EXIT

# ── バックアップ作成 ──────────────────────────────────────
mkdir -p "${BACKUP_DIR}"
cp "${CONF}" "${BACKUP}"
log "バックアップ作成: ${BACKUP}"

# ── 変更を一時ファイルに適用 ─────────────────────────────
TMP=$(mktemp "${CONF}.XXXXXX")
sed 's/listen_port=8080/listen_port=9090/' "${CONF}" > "${TMP}"

# ── 差分確認 ─────────────────────────────────────────────
diff_out=$(diff -u "${CONF}" "${TMP}" || true)
if [[ -z "${diff_out}" ]]; then
    log "変更なし。スキップします"
    exit 0
fi
log "適用する差分:"
echo "${diff_out}"

# ── 原子的置換 ───────────────────────────────────────────
mv "${TMP}" "${CONF}"
TMP=""  # trapのクリーンアップ対象から外す
log "設定ファイルを更新しました: ${CONF}"

# ── 世代管理 ─────────────────────────────────────────────
ls -1t "${BACKUP_DIR}/${CONF_BASENAME}.*.bak" 2>/dev/null     | tail -n +$((KEEP_BACKUPS + 1))     | while read -r OLD_BK; do
        log "古いバックアップを削除: ${OLD_BK}"
        rm -f "${OLD_BK}"
    done

$ sudo bash update-conf.sh
[2026-09-19 03:00:01] バックアップ作成: /var/backup/conf/myapp.conf.20260919_030001.bak
[2026-09-19 03:00:01] 適用する差分:
--- /etc/myapp/myapp.conf    2026-09-18 12:00:00.000000000 +0900
+++ /etc/myapp/myapp.conf.xY7kPq    2026-09-19 03:00:01.000000000 +0900
@@ -5,7 +5,7 @@
 log_level=info
-listen_port=8080
+listen_port=9090
 max_connections=100
[2026-09-19 03:00:01] 設定ファイルを更新しました: /etc/myapp/myapp.conf

# 設定ファイルを安全に更新する汎用関数（標準入力から新しい内容を受け取る）
safe_update_conf() {
    local conf="$1"
    local backup_dir="${CONF_BACKUP_DIR:-/var/backup/conf}"
    local date_str
    date_str=$(date +"%Y%m%d_%H%M%S")
    local backup="${backup_dir}/$(basename "${conf}").${date_str}.bak"
    local tmp
    tmp=$(mktemp "${conf}.XXXXXX")

    [[ -f "${conf}" ]] || { echo "ERROR: ファイルが存在しません: ${conf}" >&2; return 1; }
    mkdir -p "${backup_dir}"
    cp "${conf}" "${backup}"

    # 標準入力から新しい内容を受け取る
    cat > "${tmp}"

    local diff_out
    diff_out=$(diff -u "${conf}" "${tmp}" || true)
    if [[ -z "${diff_out}" ]]; then
        rm -f "${tmp}"
        return 0
    fi

    mv "${tmp}" "${conf}"
    echo "更新完了: ${conf}（バックアップ: ${backup}）"
}

# 使用例: パイプで新しい内容を渡す
sed 's/listen_port=8080/listen_port=9090/' /etc/myapp/myapp.conf     | safe_update_conf /etc/myapp/myapp.conf

# 使用例: ヒアドキュメントで内容を渡す
safe_update_conf /etc/myapp/myapp.conf << 'EOF'
listen_port=9090
log_level=info
max_connections=100
EOF

mv: cannot move '/tmp/myapp.conf.aBcDeF' to '/etc/myapp/myapp.conf': Invalid cross-device link