Joachim Friberg
74 lines
2.1 KiB
Markdown
74 lines
2.1 KiB
Markdown
# Time Machine
|
|
|
|
Denna app kör en SMB-baserad Time Machine-target för macOS med image `mbentley/timemachine`.
|
|
|
|
Imagepinning i denna app:
|
|
|
|
- Compose använder explicit daterad tag: `mbentley/timemachine:smb-20260329`
|
|
- `latest` används inte enligt repo-policy.
|
|
- Taggen verifierades mot Docker Hub innan införande.
|
|
|
|
## Syfte
|
|
|
|
- Ge en dedikerad backup-destination för macOS Time Machine i ZimaOS.
|
|
- Hålla konfigureringen enkel och reviewbar.
|
|
- Prioritera minst möjliga privilegier som fortfarande fungerar utan host network.
|
|
|
|
## Portar
|
|
|
|
- `137/udp` (NetBIOS name service)
|
|
- `138/udp` (NetBIOS datagram service)
|
|
- `139/tcp` (NetBIOS session service)
|
|
- `445/tcp` (SMB)
|
|
|
|
## Volymer
|
|
|
|
- `/DATA/AppData/$AppID/backup -> /opt/timemachine`
|
|
|
|
Backupdata lagras isolerat under appens AppData-sökväg.
|
|
|
|
## Miljövariabler
|
|
|
|
- `TZ` (default `Europe/Stockholm`)
|
|
- `TM_USERNAME` (default `timemachine`)
|
|
- `TM_GROUPNAME` (default `timemachine`)
|
|
- `PASSWORD` (MUST ändras från `CHANGE_ME` före drift)
|
|
- `TM_UID` (default `1000`)
|
|
- `TM_GID` (default `1000`)
|
|
- `SET_PERMISSIONS` (default `false`)
|
|
- `VOLUME_SIZE_LIMIT` (default `0`, dvs obegränsad)
|
|
|
|
## Säkerhetsmodell
|
|
|
|
Aktiva skydd:
|
|
|
|
- Ingen `privileged: true`
|
|
- Ingen `network_mode: host`
|
|
- Ingen mount av `/var/run/docker.sock`
|
|
- `security_opt: ["no-new-privileges:true"]`
|
|
- Snäv bind-mount till appens egna data under `/DATA/AppData/$AppID/...`
|
|
|
|
Tradeoff:
|
|
|
|
- Utan host network fungerar inte alltid automatisk Bonjour/Avahi-discovery över alla nät.
|
|
- Fallback är manuell anslutning i Finder: `smb://<server-ip>/TimeMachine`.
|
|
|
|
## Högrisk-inställningar
|
|
|
|
Inga högrisk-inställningar används i default-config.
|
|
|
|
Alternativ som utvärderats men inte valts som default:
|
|
|
|
- `network_mode: host` för bättre auto-discovery.
|
|
|
|
Varför inte default:
|
|
|
|
- Host network ökar attackytan och isoleringen minskar.
|
|
- Manuell SMB-anslutning ger fungerande backupflöde med lägre risk.
|
|
|
|
## Drift och underhåll
|
|
|
|
- Uppdatera till nyare `smb-YYYYMMDD`-taggar regelbundet för säkerhetsfixar.
|
|
- Rotera Time Machine-lösenord enligt normal credential-policy.
|
|
- Verifiera återläsning periodiskt, inte bara backup-jobb.
|