วิธีตั้งค่า Restic ทำ Immutable Backup บน macOS อย่างปลอดภัย

ภาพรวม — Overview

Restic เป็นเครื่องมือสำรองข้อมูลแบบ open‑source ที่เข้ารหัสและตรวจสอบความสมบูรณ์อัตโนมัติ การตั้งค่าให้ทำ *Immutable Backup* บน macOS จะช่วยป้องกันไฟล์สำรองไม่ให้ถูกแก้ไขหรือลบโดยไม่ได้รับอนุญาต ในบทความนี้เราจะอธิบายขั้นตอนตั้งค่าทีละ ขั้นตอน พร้อมคำแนะนำเพื่อเพิ่มความปลอดภัยสูงสุด

สิ่งที่ต้องเตรียม — Prerequisites

การติดตั้ง Restic บน macOS ต้องมีสิ่งต่อไปนี้

• เครื่อง Mac ที่ใช้ระบบปฏิบัติการ **macOS 12 (Monterey) ขึ้นไป
• Homebrew หรือ MacPorts เพื่อติดตั้งแพคเกจง่าย ๆ
• พื้นที่จัดเก็บสำรองข้อมูลอย่างน้อย **2× ปริมาณข้อมูลต้นฉบับ (หนึ่งชุดสำหรับ Repository, อีกหนึ่งชุดสำหรับ Snapshot)
• การเปิดใช้งาน FileVault เพื่อเข้ารหัสดิสก์ระดับระบบ

**Tip: ควรใช้ดิสก์ภายนอกที่รองรับ APFS และมีการตั้งค่า *hardware encryption* อยู่แล้ว จะช่วยลดความเสี่ยงจากการสูญหายของอุปกรณ์

ติดตั้ง Restic — Install Restic

Restic สามารถติดตั้งได้ด้วย Homebrew หรือโดยดาวน์โหลด binary

• เปิด Terminal แล้วรัน `brew install restic`
• ตรวจสอบเวอร์ชันด้วย `restic version` เพื่อยืนยันการติดตั้งสำเร็จ

ถ้าต้องการเวอร์ชันล่าสุดจาก GitHub ให้ดาวน์โหลดไฟล์ `restic_*.zip` แล้วแตกไฟล์และคัดลอก `restic` ไปยัง `/usr/local/bin/`

สร้าง Repository — Create Repository

Repository คือที่เก็บข้อมูลสำรองทั้งหมดของ Restic

• เชื่อมต่อดิสก์ภายนอกและสร้างโฟลเดอร์ใหม่ เช่น `~/Backups/restic-repo`
• รันคำสั่ง `restic init -r ~/Backups/restic-repo` เพื่อเริ่มต้น Repository
• ตั้งค่ารหัสผ่านสำหรับเข้าถึง Repository โดยใช้ environment variable `RESTIC_PASSWORD` หรือไฟล์ `.resticpw` ที่มีการกำหนดสิทธิ์ 600

**Caution: อย่าเก็บรหัสผ่านไว้ในสคริปต์ที่เปิดเผยต่อสาธารณะ

ตั้งค่า Immutable Backup — Enable Immutability

macOS มีฟีเจอร์ `chflags uchg` (user immutable) ที่ทำให้ไฟล์หรือโฟลเดอร์ไม่สามารถแก้ไขหรือลบได้

ขั้นตอนที่ 1 – ทำ Snapshot ปกติ

• รัน `restic -r ~/Backups/restic-repo backup /path/to/data` เพื่อสร้าง Snapshot ใหม่

ขั้นตอนที่ 2 – ทำให้ Repository เป็น Immutable

```bash sudo chflags -R uchg ~/Backups/restic-repo ```

ขั้นตอนที่ 3 – ปิดการแก้ไขไฟล์ Snapshot ที่สร้างแล้ว

• หลังจากแต่ละรอบสำรองข้อมูล ควรทำ `chflags` อีกครั้งเพื่อครอบคลุมไฟล์ใหม่ที่เพิ่มเข้ามา

```bash latest=$(restic -r ~/Backups/restic-repo snapshots --json | jq -r '.[-1].id') sudo chflags uchg $(restic -r ~/Backups/restic-repo mount /tmp/mount && find /tmp/mount/$latest -type f) ```

ขั้นตอนที่ 4 – ปิดการแก้ไขโดยผู้ใช้ทั่วไป

• ตั้งค่าโฟลเดอร์ `~/Backups` ให้เป็น read‑only สำหรับบัญชีผู้ใช้อื่น

```bash chmod -R o-w ~/Backups ```

ทำอัตโนมัติด้วย launchd — Automation with launchd

การสำรองข้อมูลแบบ Immutable ควรทำเป็นงานตามกำหนดเวลา

• สร้างไฟล์ `~/Library/LaunchAgents/com.user.restic.backup.plist`

```xml <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0"> <dict> <key>Label</key><string>com.user.restic.backup</string> <key>ProgramArguments</key> <array> <string>/usr/local/bin/restic</string> <string>-r</string> <string>/Users/yourname/Backups/restic-repo</string> <string>backup</string> <string>/path/to/data</string> </array> <key>StartCalendarInterval</key> <dict> <key>Hour</key><integer>2</integer> <key>Minute</key><integer>0</integer> </dict> <key>StandardOutPath</key><string>/tmp/restic.log</string> <key>StandardErrorPath</key><string>/tmp/restic.err</string> </dict> </plist> ```

• โหลดไฟล์ด้วย `launchctl load ~/Library/LaunchAgents/com.user.restic.backup.plist`

เมื่อทำงานเสร็จสคริปต์จะเรียก `chflags uchg` อีกครั้งโดยเพิ่มคำสั่งใน ProgramArguments หรือใช้ *post‑run script* ที่แยกออกมา

ตรวจสอบและกู้คืน — Verification & Restore

การตรวจสอบความสมบูรณ์ของ Backup เป็นขั้นตอนสำคัญ

• รัน `restic -r ~/Backups/restic-repo check` เพื่อให้ Restic ตรวจสอบ hash ของไฟล์ทั้งหมด
• ดูรายการ Snapshot ด้วย `restic -r ~/Backups/restic-repo snapshots`
• กู้คืนไฟล์จาก Snapshot ที่ต้องการโดยใช้ `restic -r ~/Backups/restic-repo restore <snapshot-id> --target /path/to/restore`

**Tip: ตรวจสอบว่าโฟลเดอร์ปลายทางมีสิทธิ์เขียนก่อนทำการกู้คืน มิฉะนั้นอาจเจอข้อผิดพลาด “permission denied”

คำแนะนำเพิ่มเติม — Tips & Cautions

• ใช้ FileVault ทั้งดิสก์ภายในและดิสก์สำรองเพื่อให้ข้อมูลอยู่ในรูปแบบเข้ารหัสตลอดเวลา
• เก็บไฟล์รหัสผ่าน (`.resticpw`) ไว้ในที่ปลอดภัย เช่น Keychain หรือ Password Manager แทนการตั้งค่าเป็น environment variable ที่เปิดเผยต่อทุก session
• ควรทำ snapshot อย่างน้อยสัปดาห์ละครั้งและเก็บสำเนาไว้ในอีกตำแหน่งหนึ่ง (เช่นคลาวด์ S3) เพื่อป้องกันกรณีอุปกรณ์เสียหายทั้งหมด

สรุป — Summary

• Restic สามารถทำ Immutable Backup บน macOS ได้โดยใช้ฟังก์ชัน `chflags uchg` ร่วมกับการตั้งค่า permission ที่เข้มงวด
• ขั้นตอนสำคัญคือ: ติดตั้ง Restic สร้าง Repository ทำ Snapshot ปกติ ตั้งค่าความเป็น immutable ทำอัตโนมัติด้วย launchd ตรวจสอบและบันทึกผลลัพธ์
• ควรเปิดใช้ FileVault, เก็บรหัสผ่านอย่างปลอดภัย, และทำสำเนา Backup เพิ่มเติมเพื่อเพิ่มระดับความทนทานต่อการสูญหาย

**สิ่งที่ควรจำ: การตั้งค่า immutable ไม่ได้หมายถึงไม่สามารถสร้าง snapshot ใหม่ได้ เพียงแต่ไฟล์ snapshot ที่ถูกทำเครื่องหมายแล้วจะไม่เปลี่ยนแปลง ทำให้คุณมีบันทึกข้อมูลที่คงที่และปลอดภัยตลอดอายุการใช้งานของระบบ.