Snapshot und Restore
Zielgruppe: Betreuer · Stand: 06.11.2026
Ein Raft-Snapshot sichert alle Daten von OpenBao: Secrets, Konfiguration und PKI. Im Lab ist belegt, dass sich ein Snapshot in eine leere Instanz zurückspielen lässt.
Lab-PoC: Im Lab gibt es keine automatischen Snapshots, nur das tägliche Proxmox-Backup der VMs. Für Produktion sind automatische Snapshots außerhalb der Knoten Pflicht.
Voraussetzungen
- Admin-Token (siehe Admin-, Break-glass- und Root-Token).
- Für den Restore: der Seal-Schlüssel der Zielinstanz. Er steckt nicht im Snapshot.
Vorgehen
-
Snapshot erstellen:
bao operator raft snapshot save <datei> -
Snapshot sicher ablegen. Er enthält alle Secrets, verschlüsselt mit dem Seal.
-
Restore in eine Instanz:
bao operator raft snapshot restore <datei><datei>: Pfad zur Snapshot-Datei
Ein Restore überschreibt alle Daten der Zielinstanz. Vorher von der Zielinstanz selbst einen Snapshot ziehen.
Prüfen
Nach dem Restore zeigt bao operator raft list-peers alle Knoten, und ein bekanntes Secret ist mit der erwarteten Version lesbar.
Stolperfallen
- Der Seal-Schlüssel darf nur kurz und nur im Arbeitsspeicher als Datei vorliegen (z. B. unter
/dev/shm) und wird danach gelöscht. - Ohne passenden Seal-Schlüssel lässt sich ein Snapshot nicht nutzen.