スナップショットレプリケーションで、暗号化された子データセットが1つだけスキップされ、他のデータセットは転送されるのはなぜですか？
レプリケーションでは、タスクの対象範囲、スナップショットセット、暗号化ルート、送信モード、権限、または宛先ポリシーが兄弟データセットと異なる場合、暗号化された子データセットが1つだけスキップされることがあります。
暗号化されているだけで、ZFSスナップショットのレプリケーションが自動的に妨げられるわけではありません。raw暗号化送信は、キーがアンロードされている状態でも機能する場合があります。スキップされた子データセットには、個別の暗号化ルートがある、再帰ジョブで選択されたスナップショット名がない、タスクで除外されている、raw送信権限が必要である、または宛先の現在の暗号化構成では受信できない、といった可能性があります。正常に動作している兄弟データセットとプロパティを1つずつ比較してください。
子データセットがレプリケーションの対象範囲に含まれていることを確認する
選択したソースデータセット、再帰設定、除外された子データセット、名前フィルター、宛先パス、そしてスキップされたデータセットに関するログの正確なメッセージを記録します。
TrueNASのリモートレプリケーションに関するドキュメントでは、ソースと宛先の範囲を明示的に定義する必要があると説明されています。そのため、兄弟データセットが転送されても、1つの子データセットだけが除外されることがあります。
子データセットがタスク計画に一度も表示されない場合は、暗号化をテストする前に、選択設定または除外設定を修正してください。
子データセットにジョブが必要とするスナップショットがあることを確認する
スナップショットを再帰的に一覧表示し、スキップされた子データセットと正常に動作している兄弟データセットについて、スナップショット名、作成時刻、保持状態、増分の基準を比較します。
FreeBSDハンドブックでは、スナップショットはデータセット固有の状態であると説明されています。そのため、親データセットのスナップショット名が一致していても、独立したすべての子データセットに必要なスナップショットがあるとは限りません。
通常のタスクを使用してスナップショットを作成または同期します。増分チェーンが一致しない場合は、新しいベースラインが必要になることがあります。
暗号化ルート、キーの状態、キーの場所を比較する
スキップされた子データセットと、正常に動作している暗号化済みの兄弟データセットについて、encryption、encryptionroot、keystatus、keyformat、keylocationを記録します。
UbuntuのZFSプロパティリファレンスでは、暗号化ルートとキーのプロパティが定義されており、子データセットが親のキーを継承しているのか、独自のルートを持っているのかを確認できます。
アンロードされたキーは、すべてのraw送信を妨げるわけではありませんが、プレーンテキストへのアクセスを必要とするワークフローは妨げます。
ジョブでraw暗号化送信が必要かどうかを確認する
正常に動作しているデータセットとスキップされたデータセットについて、raw、非raw、再帰、プロパティ保持、圧縮、増分送信のオプションを比較します。
Oracleのドキュメントでは、raw暗号化レプリケーションには、ソース、ターゲット、暗号化コンテキストに関する固有の要件があると説明されています。
子データセットが以前に非rawで受信され、タスクがraw増分送信に切り替えられた場合、宛先の履歴に互換性がない可能性があります。
送信、raw送信、スナップショット、キーの権限を確認する
レプリケーションユーザーを特定し、親データセット、スキップされた子データセット、正常に動作している兄弟データセットに付与された委任権限を比較します。
OpenZFSのドキュメントでは、委任された管理権限について説明されており、独自の暗号化ルートを持つ子データセットでアクセスが異なる理由を確認できます。
不足している操作の権限だけを付与してください。広範な管理者アクセスは実際の境界を隠し、リスクを高めます。
宛先の暗号化と継承ルールを確認する
宛先の親データセットの暗号化状態、対象の子データセットが存在するかどうか、その暗号化ルート、継承されたプロパティ、受信時の動作を比較します。
FreeBSDのzfs receiveマニュアルでは、rawストリームはそのまま受信される一方、非rawストリームでは暗号化の継承方法が異なる場合があると説明されています。
互換性のない宛先の子データセットがすでに存在すると、そのデータセットだけが拒否され、タスクによって作成された兄弟データセットは正常に処理されることがあります。
1つのデータセットでテストし、正常なレプリケーションを維持する
スケジュールを一時停止し、スキップされた子データセットについてドライランまたは詳細な送信見積もりを実行して、正常に動作している兄弟データセットと比較します。
暗号化されたリカバリーキーに関するZimaSpaceの記事、暗号化されたリカバリーキーが機能しない場合の警告サインでは、暗号化された唯一のコピーを削除する前にキーの依存関係を確認するという、関連する安全ルールが説明されています。
子データセットが対象範囲に含まれ、必要なスナップショットを持ち、互換性のある送信モードを使用し、必要な権限を満たし、意図した暗号化構成で受信できれば、問題は解決しています。
おすすめ商品
サポートとヒント
もっと読む
Plexは別のDockerコンテナとGPUを共有できますか？
Plexと別のコンテナは同じGPUにアクセスできることが多いですが、ドライバーのサポート、デバイスマッピング、ビデオエンジンの負荷、メモリ、復旧動作をテストする必要があります。
Plexのエラーがクライアント側とサーバー側のどちらに起因するかを見分ける方法
別のクライアントで同じ項目を再現し、セッションパスを比較してから、スコープによって障害の実際の所在が特定された後にのみサーバーの証拠を収集してください。
Plexのキャッシュとトランスコード用一時ストレージを設定する方法
永続的な Plex の状態を保護しつつ、トランスコードの一時ファイルを適切なローカルストレージに配置し、クリーンアップ、空き容量、再起動時の動作を確認します。
