Shuery
102a3e038d
BackupConfig.psd1 原来写的是 PasswordFile = 'baknret.key' —— 相对路径，解析到仓库根， 而根目录真的有这个文件（实测它在服役：用它跑 7z t 得到 0，manifest 里 5 个条目标着 encrypted = true）。也就是说"出厂默认值"在教人把口令放进版本库，而同一份配置的注释却写着 "文件必须在仓库之外"。 现在默认留空，并把注释改成明确的约束：口令只能来自 -Password / $env:BAKNRET_PASSWORD / 仓库之外的 PasswordFile / 交互式询问（仅交互式会话）。取不到口令时加密条目**明确失败**， 绝不退化成明文归档 —— 这条行为没变，也没有放宽。 配套：.gitignore 早已加上 *.key；密钥文件本身怎么搬是使用者的动作（我不会自动搬你的 密钥），迁移命令见 README 与本次改造的收尾说明。
101 lines
4.6 KiB
PowerShell
101 lines
4.6 KiB
PowerShell
<#
|
||
BakNRet 配置文件。
|
||
|
||
优先级：命令行参数 > 本文件 > 代码内置默认值。
|
||
本文件缺失或某键缺失都直接用默认值，不会报错。
|
||
#>
|
||
@{
|
||
# 归档存放目录（相对路径按脚本所在目录解析）
|
||
BackupDir = 'Backups'
|
||
|
||
# 每次运行的日志目录（backup-<时间戳>.log / restore-<时间戳>.log）
|
||
LogDir = 'logs'
|
||
|
||
# 使用 -Snapshot 时留存带时间戳的副本
|
||
SnapshotDir = 'Backups\snapshots'
|
||
|
||
# 软件名录（"软件名 -> 目录"映射表）。相对路径按本配置所在目录解析。
|
||
# BackupList.txt 里写软件名时靠它换成真实目录，归档名也取软件名。
|
||
SoftwareCatalog = 'SoftwareCatalog.psd1'
|
||
|
||
# 名录里写的目录不存在时，按 "<名>_*" / "<名>-*" 向下找几层做前缀补全
|
||
# （应对 legendary -> legendary_2.0.4 这类带后缀的目录）
|
||
CatalogMaxDepth = 5
|
||
|
||
# 低于这个剩余空间（GB）就告警；真正放不下某个条目时会直接跳过该条目
|
||
MinFreeSpaceGB = 5
|
||
|
||
# 归档写完后用 `7z t` 校验内容 CRC，失败则丢弃临时文件
|
||
VerifyArchive = $true
|
||
|
||
# 是否默认给所有归档计算 SHA256（大归档会明显变慢）
|
||
ComputeHash = $false
|
||
|
||
# 7z 压缩级别 0-9
|
||
CompressionLevel = 9
|
||
|
||
# 压缩工具的实时输出：live = 直接显示（默认）；quiet = 抑制，只留日志与 manifest
|
||
ToolOutput = 'live'
|
||
|
||
# 是否默认给所有条目留存快照
|
||
Snapshot = @{
|
||
Enabled = $false
|
||
KeepCount = 3
|
||
KeepDays = 30
|
||
}
|
||
|
||
# 加密。默认关闭：一旦开启而口令丢失，备份就再也解不开。
|
||
#
|
||
# **本仓库不存放任何口令**，这里只记"去哪儿找"：
|
||
# Encryption.Enabled = $true -> 所有条目都加密
|
||
# SoftwareCatalog.psd1 的 Slot 写 Encrypt = $true（如 OpenSSH）
|
||
# 或 BackupList.txt 里给单个条目加 :encrypt（如 Edge :encrypt）
|
||
#
|
||
# 口令本身按以下优先级获取（见 README「加密」）：
|
||
# 1. -Password 命令行参数
|
||
# 2. $env:BAKNRET_PASSWORD
|
||
# 3. PasswordFile 指向的文件首行 —— 必须指向仓库**之外**的文件；
|
||
# 出厂默认值留空：默认值指向仓库里的某个文件，等于鼓励把口令放进版本库
|
||
# 4. 交互式询问（仅交互式会话；计划任务里不会停下来等输入）
|
||
# 全都拿不到时该条目明确失败，绝不退化成明文归档。
|
||
#
|
||
# 注意 7z 只接受命令行口令，口令在本机进程列表里短暂可见，这是 7z 本身的限制。
|
||
Encryption = @{
|
||
Enabled = $false
|
||
PasswordFile = ''
|
||
EncryptHeaders = $true
|
||
}
|
||
|
||
# 安全描述符（NTFS 属主 / ACL）。
|
||
#
|
||
# 归档格式装不下它：7-Zip 的 -sni 官方说明是"当前版本只能写进 WIM 归档"，
|
||
# .7z 里一个字节的 ACL 都没有。所以每个归档旁边多一个 <归档名>.acl.json，
|
||
# 恢复时按它把属主 + 属组 + DACL 回放回去。
|
||
#
|
||
# 为什么非要不可：C:\ProgramData 的 ACL 里有 (A;OICIIO;GA;;;CO) —— CREATOR OWNER
|
||
# 不是账户，是访问检查时才替换的占位符，替换成"被检查对象的属主"。只回放 ACE 文本、
|
||
# 不恢复属主，等于把"谁创建的东西谁有全权"里的"谁"换成跑恢复脚本的那个账户，
|
||
# 原程序（服务账户 / 专用用户）反而没了读写权限。
|
||
#
|
||
# Mode Off —— 完全不采集：恢复出来的属主/ACL 是新建对象的默认值
|
||
# Full —— 每个对象都存（默认；正确性优先，几万文件的树 sidecar 几 MB）
|
||
# Smart —— 只存"继承复现不出来"的对象（体积优化，判据见代码，终究是启发式）
|
||
# Roots —— 只存每个归档项的根（最省，适合权限只在根上的场景）
|
||
# IncludeSacl 是否连审计规则（SACL）一起存取；读/写它需要 SeSecurityPrivilege
|
||
# SidMap 跨机恢复时的 SID 映射，例如：
|
||
# @{ 'S-1-5-21-1-2-3-1001' = 'S-1-5-21-9-8-7-1001' }
|
||
# FailOnError 安全描述符写盘失败时，是否把该条目算作失败（默认只告警并记进 manifest）
|
||
Security = @{
|
||
Mode = 'Full'
|
||
IncludeSacl = $false
|
||
SidMap = @{}
|
||
FailOnError = $false
|
||
}
|
||
|
||
# 所有条目都生效的排除模式，语法同 BackupList.txt（! 开头 = 任意层级匹配组件名）
|
||
DefaultExcludes = @(
|
||
'!Thumbs.db'
|
||
'!desktop.ini'
|
||
)
|
||
}
|