シェルスクリプトでgpg暗号化バックアップを自動化する設計｜無人実行・エラー処理・復号テストの実装パターン

この記事のポイント

・gpg --symmetric でパスフレーズを使った対称暗号化バックアップを無人実行できる
・--passphrase-file でパスフレーズをファイルから安全に渡し、cron環境でも動作する
・trap cleanup EXIT で一時ファイルを確実に後始末するcleanup設計が必須
・暗号化後に gpg --decrypt | tar tz で整合性を検証し、破損を即座に検知する

# tarでgzip圧縮して一時ファイルに保存
tar czf /tmp/backup_www.tar.gz -C /var www

# gpgで対称暗号化（対話でパスフレーズを入力する場合）
gpg --symmetric --cipher-algo AES256 \
    --output /backup/backup_www.tar.gz.gpg \
    /tmp/backup_www.tar.gz

# 暗号化後に元の一時ファイルを削除
rm -f /tmp/backup_www.tar.gz

# tarの出力を直接gpgに渡す（一時ファイル不要）
tar czf - /var/www | gpg --symmetric --cipher-algo AES256 \
    --batch --passphrase-file /root/.backup-passphrase \
    --output /backup/backup_www.tar.gz.gpg

# 復号して指定ディレクトリに展開
gpg --batch --passphrase-file /root/.backup-passphrase \
    --pinentry-mode loopback \
    --decrypt /backup/backup_www.tar.gz.gpg \
    | tar xzf - -C /restore/

# gpg --version
gpg (GnuPG) 2.4.4
libgcrypt 1.10.3
Copyright (C) 2024 g10 Code GmbH
...

#!/bin/bash
set -euo pipefail

readonly BACKUP_SRC="/var/www/html"
readonly BACKUP_DEST="/backup/encrypted"
readonly PASSPHRASE_FILE="/root/.backup-passphrase"
readonly LOG_FILE="/var/log/backup-gpg.log"

# 一時ファイルのパスを変数として保持（cleanup関数で参照する）
TMPFILE=""

cleanup() {
    if [[ -n "$TMPFILE" && -f "$TMPFILE" ]]; then
        rm -f "$TMPFILE"
    fi
}
trap cleanup EXIT

log() {
    echo "$(date '+%Y-%m-%d %H:%M:%S') $*" | tee -a "$LOG_FILE"
}

# 事前確認
[[ -f "$PASSPHRASE_FILE" ]] || { log "ERROR: パスフレーズファイルが存在しない: $PASSPHRASE_FILE"; exit 1; }
[[ -d "$BACKUP_SRC" ]]      || { log "ERROR: バックアップ元が存在しない: $BACKUP_SRC"; exit 1; }
[[ -d "$BACKUP_DEST" ]]     || mkdir -p "$BACKUP_DEST"

# パスフレーズファイルのパーミッション確認（600または400 のみ許可）
PERM=$(stat -c%a "$PASSPHRASE_FILE")
if [[ "$PERM" != "600" && "$PERM" != "400" ]]; then
    log "ERROR: パスフレーズファイルのパーミッションが不正: $PERM（600 が必要）"
    exit 1
fi

TMPFILE=$(mktemp /tmp/gpg_backup_XXXXXX.tar.gz)
DEST_FILE="${BACKUP_DEST}/backup_$(date '+%Y%m%d_%H%M%S').tar.gz.gpg"

log "INFO: バックアップ開始: $BACKUP_SRC"

# tar圧縮
if ! tar czf "$TMPFILE" -C "$(dirname "$BACKUP_SRC")" "$(basename "$BACKUP_SRC")"; then
    log "ERROR: tar圧縮失敗"
    exit 1
fi
log "INFO: tar圧縮完了 ($(stat -c%s "$TMPFILE") bytes)"

# gpg暗号化
if ! gpg --batch \
         --passphrase-file "$PASSPHRASE_FILE" \
         --pinentry-mode loopback \
         --symmetric --cipher-algo AES256 \
         --output "$DEST_FILE" "$TMPFILE"; then
    log "ERROR: gpg暗号化失敗"
    exit 1
fi
log "INFO: 暗号化完了: $DEST_FILE ($(stat -c%s "$DEST_FILE") bytes)"

# パスフレーズを書いたファイルを作成
echo "your-strong-passphrase" > /root/.backup-passphrase

# root のみ読み取り可能にする
chmod 600 /root/.backup-passphrase

# 確認
ls -la /root/.backup-passphrase
# -rw------- 1 root root 24 Sep  1 10:00 /root/.backup-passphrase

# スクリプト冒頭（ログ変数定義の前あたり）に追加
export GNUPGHOME="/root/.gnupg-backup"

if [[ ! -d "$GNUPGHOME" ]]; then
    mkdir -p "$GNUPGHOME"
    chmod 700 "$GNUPGHOME"
    # pinentry-mode loopback をデフォルト設定として書き込む
    echo "pinentry-mode loopback" > "${GNUPGHOME}/gpg.conf"
fi

# /etc/cron.d/backup-encrypted
# 毎日午前2時に実行
0 2 * * * root /usr/local/bin/backup-encrypted.sh >> /var/log/backup-gpg.log 2>&1

# バックアップスクリプトの末尾に追加する整合性検証関数
verify_backup() {
    local encrypted_file="$1"
    log "INFO: 整合性検証開始: $encrypted_file"

    # 復号してtarのファイル一覧のみ確認（展開は行わない）
    if gpg --batch \
           --passphrase-file "$PASSPHRASE_FILE" \
           --pinentry-mode loopback \
           --decrypt "$encrypted_file" \
           | tar tzf - > /dev/null; then
        log "INFO: 整合性検証 OK"
        return 0
    else
        log "ERROR: 整合性検証失敗 — 復号またはtar読み取りに失敗"
        return 1
    fi
}

# 暗号化後に呼び出す
verify_backup "$DEST_FILE"

2026-09-01 02:00:03 INFO: バックアップ開始: /var/www/html
2026-09-01 02:00:15 INFO: tar圧縮完了 (148729344 bytes)
2026-09-01 02:00:22 INFO: 暗号化完了: /backup/encrypted/backup_20260901_020003.tar.gz.gpg (74402816 bytes)
2026-09-01 02:00:28 INFO: 整合性検証 OK