シェルスクリプトでdiffを使った設定変更検知を設計する方法｜スナップショット比較・差分通知・ロールバック判断の実装パターン

この記事のポイント

・diffの終了コード（0=差分なし・1=差分あり）がスクリプトの分岐判定に使える
・スナップショットをtarで保存し前回と比較するパターンが実務の定石
・変更を検知したらmailコマンドで差分をメール送信して即時通知できる
・cronで定期実行すれば設定ファイルの無断変更を自動監視できる

if ! diff -q /etc/nginx/nginx.conf /tmp/snapshot/nginx.conf >/dev/null 2>&1; then
  echo "変更を検知しました"
fi

#!/bin/bash
set -euo pipefail

SNAPSHOT_DIR="/var/lib/config-monitor/snapshots"
MONITOR_FILES=(
  "/etc/nginx/nginx.conf"
  "/etc/ssh/sshd_config"
  "/etc/cron.d"
  "/etc/sudoers"
)

mkdir -p "${SNAPSHOT_DIR}"

for target in "${MONITOR_FILES[@]}"; do
  if [[ -f "$target" ]]; then
    # ファイル名のスラッシュをアンダースコアに置換してスナップショット名を作成
    snapshot_name="${SNAPSHOT_DIR}/$(echo "${target}" | tr '/' '_')"
    cp -p "${target}" "${snapshot_name}"
    echo "スナップショット作成: ${target}"
  elif [[ -d "$target" ]]; then
    snapshot_name="${SNAPSHOT_DIR}/$(echo "${target}" | tr '/' '_').tar.gz"
    tar czf "${snapshot_name}" -C "$(dirname "${target}")" "$(basename "${target}")"
    echo "ディレクトリのスナップショット作成: ${target}"
  fi
done

#!/bin/bash
set -euo pipefail

SNAPSHOT_DIR="/var/lib/config-monitor/snapshots"
DIFF_LOG="/var/log/config-monitor/changes.log"
MONITOR_FILES=(
  "/etc/nginx/nginx.conf"
  "/etc/ssh/sshd_config"
  "/etc/sudoers"
)

mkdir -p "$(dirname "${DIFF_LOG}")"

changed_files=()

for target in "${MONITOR_FILES[@]}"; do
  snapshot_name="${SNAPSHOT_DIR}/$(echo "${target}" | tr '/' '_')"

  if [[ ! -f "$snapshot_name" ]]; then
    echo "[WARN] スナップショットが存在しません: ${target}" >&2
    continue
  fi

  if ! diff -q "${target}" "${snapshot_name}" >/dev/null 2>&1; then
    echo "$(date '+%Y-%m-%d %H:%M:%S') [変更検知] ${target}" >> "${DIFF_LOG}"
    diff -u "${snapshot_name}" "${target}" >> "${DIFF_LOG}" 2>&1 || true
    changed_files+=("${target}")
  fi
done

if [[ ${#changed_files[@]} -gt 0 ]]; then
  echo "変更されたファイル: ${changed_files[*]}"
  exit 1  # 変更検知時はexit 1で呼び出し元に通知
else
  echo "変更なし"
fi

# cronから呼び出す場合の例
# 変更があったときだけメール通知スクリプトを実行
/usr/local/bin/check-config.sh && echo "変更なし" || /usr/local/bin/notify-change.sh

#!/bin/bash
set -euo pipefail

SNAPSHOT_DIR="/var/lib/config-monitor/snapshots"
NOTIFY_MAIL="admin@example.com"
HOSTNAME_VAL=$(hostname -s)
MONITOR_FILES=(
  "/etc/nginx/nginx.conf"
  "/etc/ssh/sshd_config"
  "/etc/sudoers"
)

TMPFILE=$(mktemp /tmp/config-diff.XXXXXX)
trap 'rm -f "${TMPFILE}"' EXIT

changed_count=0

for target in "${MONITOR_FILES[@]}"; do
  snapshot_name="${SNAPSHOT_DIR}/$(echo "${target}" | tr '/' '_')"

  if [[ ! -f "$snapshot_name" ]]; then
    continue
  fi

  if ! diff -q "${target}" "${snapshot_name}" >/dev/null 2>&1; then
    echo "=== 変更検知: ${target} ===" >> "${TMPFILE}"
    diff -u "${snapshot_name}" "${target}" >> "${TMPFILE}" 2>&1 || true
    echo "" >> "${TMPFILE}"
    (( changed_count++ ))
  fi
done

if [[ $changed_count -gt 0 ]]; then
  mail -s "[要確認] ${HOSTNAME_VAL} で設定ファイルの変更を検知 (${changed_count}件)" \
    "${NOTIFY_MAIL}" < "${TMPFILE}"
  echo "通知メール送信完了: ${changed_count}件の変更"
  exit 1
fi

echo "変更なし"

# 変更検知をsyslogに記録（facility: local0, priority: warning）
logger -t config-monitor -p local0.warning "設定変更を検知: ${target}"

# /etc/cron.d/config-monitor
MAILTO=admin@example.com
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

# 毎時0分に設定変更を確認（変更ありでexit 1を返すとcronがメール送信）
0 * * * * root /usr/local/bin/check-config.sh

# /etc/ssh/sshd_configを意図的に変更してテスト
$ echo "# test change" >> /etc/ssh/sshd_config
$ /usr/local/bin/check-config.sh
変更されたファイル: /etc/ssh/sshd_config

# changesログで差分内容を確認
$ tail -20 /var/log/config-monitor/changes.log
2026-10-01 17:30:15 [変更検知] /etc/ssh/sshd_config
--- /var/lib/config-monitor/snapshots/_etc_ssh_sshd_config	2026-10-01 09:00:00.000000000 +0900
+++ /etc/ssh/sshd_config	2026-10-01 17:30:12.000000000 +0900
@@ -129,3 +129,4 @@
 # This is the sshd server system-wide configuration file.
 # See sshd_config(5) man page
+# test change

#!/bin/bash
# スナップショットを現在の状態で更新する（承認後に実行）
update_snapshot() {
  local target="$1"
  local snapshot_name="${SNAPSHOT_DIR}/$(echo "${target}" | tr '/' '_')"
  cp -p "${target}" "${snapshot_name}"
  echo "$(date '+%Y-%m-%d %H:%M:%S') [更新] スナップショットを更新: ${target}" \
    >> /var/log/config-monitor/changes.log
  logger -t config-monitor -p local0.info "スナップショット更新: ${target}"
}

# 使用例（変更確認後に手動で実行）
update_snapshot "/etc/ssh/sshd_config"

#!/bin/bash
set -euo pipefail

MASTER_FILE="/etc/nginx/nginx.conf"
SERVERS=("web01.example.com" "web02.example.com" "web03.example.com")
SSH_USER="deploy"

for server in "${SERVERS[@]}"; do
  remote_file=$(ssh -o StrictHostKeyChecking=no -o ConnectTimeout=10 \
    "${SSH_USER}@${server}" "cat ${MASTER_FILE}" 2>/dev/null)

  if ! diff -q \
    <(echo "$remote_file") \
    "${MASTER_FILE}" >/dev/null 2>&1; then
    echo "[WARN] ${server}: ${MASTER_FILE} が基準と異なります" >&2
    diff <(echo "$remote_file") "${MASTER_FILE}" || true
  else
    echo "[OK] ${server}: 整合性確認済み"
  fi
done

# タイムスタンプ行を無視して比較（例: # Generated: 2026-10-01 という行を除外）
diff -q \
  <(grep -v '^# Generated:' "${snapshot}") \
  <(grep -v '^# Generated:' "${target}") >/dev/null 2>&1

# NGパターン: set -e 下でdiffが差分を検出するとスクリプト終了
diff -u "${snapshot}" "${target}"

# OKパターン: || true でexit 1を吸収する
diff -u "${snapshot}" "${target}" >> "${DIFF_LOG}" || true

# または条件式内なら set -e の影響を受けない
if ! diff -q "${snapshot}" "${target}" >/dev/null 2>&1; then
  # 変更処理
fi