レンタルLinuxサーバー上でVeeam hardened repositoryを設定するには？

hardened repositoryは何から守りますか？

ハードニングされたリポジトリは、設定した期間バックアップファイルをイミュータブルにします。その期間中、Veeamによればファイルは移動・変更・削除できませんが、コピーは可能です。

処理を行うのは2つのサービスです。Veeam Data Moverはポート6162でバックアップサーバーと通信し、非rootユーザーとして実行されます。その子プロセスでroot権限を持つVeeam Immutability Serviceが、イミュータブル属性の設定と解除を行い、20分ごとにファイルをチェックします。インストールに使った認証情報は保存されないため、侵害されたバックアップサーバーが再ログインすることはできません。

イミュータビリティは盗まれたバックアップサーバーからファイルを守りますが、マシン自体の喪失からリポジトリを守るものではありません。

ドライブとファイルシステムはどう準備すればよいですか？

Veeamは、システム用にSSDのRAID 1を、バックアップデータ用にライトバックキャッシュ付きのRAID 6または60を推奨しています。Basaltholdのレンタルでは、システムはすでにSSD上にあります。オペレーティングシステムは専用のSSD上にあります（大型の筐体では2台のミラーリングされたSSD）。データドライブは空でパーティション未作成の状態で届くため、ZFS、mdadmアレイ、または独立したディスクのセットを構築できます。納品前にチームにRAID 6またはRAID 10アレイを準備してほしい場合は、サーバー引き渡し前にサポートへお伝えください。

BasaltholdはハードウェアRAIDコントローラーを保証していないため、mdadmでソフトウェアRAID 6を構築します。ライトバックキャッシュはありませんが、同じ2ドライブ耐障害性が得られます。2 November 2026に確認した23のストレージサーバー販売業者4のうち、ストレージプランでハードウェアRAIDコントローラーを明記しているのはBasaltholdのみです。パリティのトレードオフはレンタルストレージサーバーでRAID 6かRAID 10かにあります。

その後、Veeam独自の文字列でフォーマットします。Fast cloneには、reflinkとチェックサムを有効にしたXFS、および1〜4 KBのブロックサイズが必要です。

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

ワンタイム認証情報でサーバーを追加するにはどうすればよいですか？

Veeamは、ホームディレクトリを持つ非rootアカウントを要求し、SSH経由で一度だけVeeam Data Moverのデプロイに使用します。バックアップディレクトリはそのアカウントとそのグループに属し、モード0700でスティッキービットなしである必要があります。

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

サーバーが自分のラックではなくレンタルの場合、何が変わりますか？

3つあります。コンソール、時計、契約です。

• コンソール。 コンソールから作業できる場合、Veeamはサーバー全体でSSHを無効にすることを推奨しています。お客様向けのIPMIまたはKVM-over-IPアクセスはありません。ダッシュボードでリクエストした再起動や再インストールはチームが実行します。そのため、rootはキーのみのSSHに留め、ファイアウォールで管理者のアドレスに限定します。6162と2500〜3300はVeeamサーバーに対してのみ開放します。
• 時計。 時計が24時間以上ずれた場合、またはリポジトリがその時間停止した場合、Immutability Serviceは保持をブロックします。NTPを稼働させ続けてください。
• 契約。 各サーバーは暗号資産の残高から前払いで支払われ、チェックアウト時に選択した30日、3か月、6か月、または12か月の期間で利用できます。自動更新では、ダッシュボードで次回更新の期間を別に設定しない限り、開始時の価格で同じ期間が再度課金されます。残高が不足すると、サーバーは契約期間の終了時に停止し、ドライブは7日間保持された後に消去されます。ロックされていてもいなくても、ドライブは失われます。

イミュータブルフラグはレンタル期間中のみ有効です。ロック終了後も期間を延長して支払ってください。Hold 100は12か月で$3,167.22、$377.05/30日に対してです。期限切れ後のドライブの扱いはレンタルストレージサーバー解約後のデータにあります。

バックアップはどのくらいの期間イミュータブルで、どれくらいの容量を占めますか？

各イメージレベルのバックアップは、設定した期間、アクティブチェーンの最後のリストアポイントから起算してイミュータブルに保たれます。Veeamは、新しいリストアポイントごとにアクティブチェーン全体を延長します。GFSフルバックアップは、それぞれの保持期間がより長い場合、その間ロックされたままになります。

イミュータビリティはジョブの保持設定より優先されます。ファイルが削除されるのは、ロックが期限切れになった後だけです。容量は最も短い保持期間ではなく、最も長いロック期間に合わせて計画してください。ファストクローンによりXFS上では合成フルも低コストに保たれるため、追加の容量は主に変更ブロックです。

ジョブも暗号化する場合、Veeamはソース側で暗号化し、データキーはリポジトリ上に残りません。ドライブレベルの暗号化については、LUKS暗号化されたレンタルサーバーをリモートでロック解除する方法をご覧ください。各期間の価格は保留価格リストに記載されています。その他のロック方法については、自前のサーバーでのイミュータブルバックアップをご覧ください。