Crear copias de seguridad con Kopia y almacenamiento S3

Kopia guarda copias de seguridad llamadas snapshots en un repositorio. Este artículo muestra un flujo básico en Debian: instalar Kopia desde su repositorio oficial APT, crear un repositorio en almacenamiento compatible con S3 y respaldar un directorio. El repositorio cifra los datos; conserva su contraseña y las credenciales del almacenamiento de forma segura [1][2].

Importante: este ejemplo crea un repositorio nuevo. No ejecutes el comando de creación sobre un bucket o prefijo que ya contenga un repositorio que quieras conservar.

Instalar Kopia en Debian

Kopia publica un repositorio APT para Debian y Ubuntu. Añade su clave de firma, configura la fuente estable e instala el cliente de línea de comandos [1]:

sudo install -d -m 0755 /etc/apt/keyrings
curl -fsSL https://kopia.io/signing-key | sudo gpg --dearmor -o /etc/apt/keyrings/kopia-keyring.gpg
echo "deb [signed-by=/etc/apt/keyrings/kopia-keyring.gpg] http://packages.kopia.io/apt/ stable main" | sudo tee /etc/apt/sources.list.d/kopia.list
sudo apt update
sudo apt install kopia

Comprueba que el ejecutable está disponible:

kopia --version

Ejecuta Kopia como el usuario que debe ser propietario de los snapshots y que tenga permiso de lectura sobre los directorios que respaldarás. Evita ejecutar los trabajos como root si no es necesario.

Preparar el almacenamiento y las credenciales

Antes de conectar Kopia, crea un bucket en tu proveedor S3 o S3 compatible. Obtén del panel del proveedor el nombre del bucket, endpoint, región si aplica, identificador de acceso y clave secreta. Los nombres de esos campos pueden variar según el proveedor [2].

La clave de acceso y la clave secreta del proveedor autorizan operaciones sobre el almacenamiento; la contraseña del repositorio de Kopia se utiliza para cifrar y descifrar los datos. Son credenciales distintas. Guarda ambas en un gestor seguro y limita los permisos de acceso del usuario S3 al bucket que vayas a usar.

El CLI de Kopia admite AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY como variables de entorno para el backend S3 [3]. Puedes pedirlas de forma interactiva para que la clave secreta no aparezca escrita en el historial del shell:

read -r -p "Bucket: " KOPIA_BUCKET
read -r -p "Endpoint S3: " KOPIA_ENDPOINT
read -r -p "Access key ID: " AWS_ACCESS_KEY_ID
read -r -s -p "Secret access key: " AWS_SECRET_ACCESS_KEY
printf '\n'
export KOPIA_BUCKET KOPIA_ENDPOINT AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY

Aunque no se impriman, las variables exportadas están disponibles para los procesos que inicies desde esa sesión. Cuando termines, elimínalas del entorno con unset.

Crear el repositorio S3 de Kopia

Revisa el nombre del bucket y endpoint y crea el repositorio:

kopia repository create s3 \
  --bucket="$KOPIA_BUCKET" \
  --endpoint="$KOPIA_ENDPOINT"

Si el proveedor exige una región concreta, añade --region="REGION_DEL_PROVEEDOR". Kopia solicitará una contraseña para el repositorio. Utiliza una contraseña fuerte y guárdala fuera del servidor: perderla puede impedir descifrar los datos almacenados [2][3].

Tras crear el repositorio, Kopia guarda la configuración local para que ese usuario pueda volver a conectarse. Limpia las variables de credenciales de la sesión:

unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY

Para conectar otra instalación al repositorio existente, utiliza kopia repository connect s3 con el mismo bucket, endpoint, región y credenciales S3, y proporciona la contraseña original del repositorio [4]. No uses repository create para volver a conectar: ese comando crea un repositorio.

Crear y revisar un snapshot

Comprueba que el usuario de Kopia puede leer el directorio y crea un snapshot:

kopia snapshot create /srv/datos

Lista los snapshots guardados para esa ruta:

kopia snapshot list /srv/datos

La lista permite confirmar que el snapshot aparece en el repositorio [6]. También puedes ejecutar una verificación del contenido almacenado:

kopia snapshot verify

La verificación puede tardar, en especial con repositorios grandes [7]. Para comprobar que el proceso de recuperación funciona, restaura un snapshot en una carpeta de prueba vacía, sin sobrescribir los datos originales. Sustituye el identificador por el que aparezca en el listado [5][6]:

mkdir -p /tmp/kopia-restore-test
kopia snapshot restore IDENTIFICADOR_DEL_SNAPSHOT /tmp/kopia-restore-test

Kopia restaura los datos del snapshot en la ruta de destino indicada [8].

Abre varios archivos restaurados y confirma que su contenido es correcto. Una copia cuya restauración no se ha probado todavía no demuestra que puedas recuperar tus datos ante un incidente.

En resumen

• Kopia instala desde su repositorio oficial APT en Debian.
• El bucket y el endpoint deben existir en el proveedor antes de crear el repositorio.
• Las claves S3 dan acceso al almacenamiento; la contraseña de Kopia protege el cifrado del repositorio.
• kopia snapshot create crea una copia y kopia snapshot list permite localizarla.
• Verifica snapshots y ensaya una restauración en otra ruta.

📚 Fuentes consultadas

1. Download & Installation — Kopia
2. Repositories — Kopia
3. repository create s3 — Kopia CLI
4. repository connect s3 — Kopia CLI
5. snapshot create — Kopia CLI
6. snapshot list — Kopia CLI
7. snapshot verify — Kopia CLI
8. snapshot restore — Kopia CLI

Imagen