Snapshot und Restore

Zielgruppe: Betreuer · Stand: 06.11.2026

Ein Raft-Snapshot sichert alle Daten von OpenBao: Secrets, Konfiguration und PKI. Im Lab ist belegt, dass sich ein Snapshot in eine leere Instanz zurückspielen lässt.

Lab-PoC: Im Lab gibt es keine automatischen Snapshots, nur das tägliche Proxmox-Backup der VMs. Für Produktion sind automatische Snapshots außerhalb der Knoten Pflicht.

Voraussetzungen

• Admin-Token (siehe Admin-, Break-glass- und Root-Token).
• Für den Restore: der Seal-Schlüssel der Zielinstanz. Er steckt nicht im Snapshot.

Vorgehen

1. Snapshot erstellen:

   bao operator raft snapshot save <datei>
   

2. Snapshot sicher ablegen. Er enthält alle Secrets, verschlüsselt mit dem Seal.

3. Restore in eine Instanz:

   bao operator raft snapshot restore <datei>
   

   • <datei>: Pfad zur Snapshot-Datei

Ein Restore überschreibt alle Daten der Zielinstanz. Vorher von der Zielinstanz selbst einen Snapshot ziehen.

Prüfen

Nach dem Restore zeigt bao operator raft list-peers alle Knoten, und ein bekanntes Secret ist mit der erwarteten Version lesbar.

Stolperfallen

• Der Seal-Schlüssel darf nur kurz und nur im Arbeitsspeicher als Datei vorliegen (z. B. unter /dev/shm) und wird danach gelöscht.
• Ohne passenden Seal-Schlüssel lässt sich ein Snapshot nicht nutzen.

Weiterführend

• Cluster, Storage und Seal
• OpenBao: raft snapshot