zima-apps/Apps/timemachine/README.md

Time Machine

Denna app kör en SMB-baserad Time Machine-target för macOS med image mbentley/timemachine.

Imagepinning i denna app:

• Compose använder explicit daterad tag: mbentley/timemachine:smb-20260329
• latest används inte enligt repo-policy.
• Taggen verifierades mot Docker Hub innan införande.

Syfte

• Ge en dedikerad backup-destination för macOS Time Machine i ZimaOS.
• Hålla konfigureringen enkel och reviewbar.
• Prioritera minst möjliga privilegier som fortfarande fungerar utan host network.

Portar

• 137/udp (NetBIOS name service)
• 138/udp (NetBIOS datagram service)
• 139/tcp (NetBIOS session service)
• 445/tcp (SMB)

Volymer

• /DATA/AppData/$AppID/backup -> /opt/timemachine

Backupdata lagras isolerat under appens AppData-sökväg.

Miljövariabler

• TZ (default Europe/Stockholm)
• TM_USERNAME (default timemachine)
• TM_GROUPNAME (default timemachine)
• PASSWORD (MUST ändras från CHANGE_ME före drift)
• TM_UID (default 1000)
• TM_GID (default 1000)
• SET_PERMISSIONS (default false)
• VOLUME_SIZE_LIMIT (default 0, dvs obegränsad)

Säkerhetsmodell

Aktiva skydd:

• Ingen privileged: true
• Ingen network_mode: host
• Ingen mount av /var/run/docker.sock
• security_opt: ["no-new-privileges:true"]
• Snäv bind-mount till appens egna data under /DATA/AppData/$AppID/...

Tradeoff:

• Utan host network fungerar inte alltid automatisk Bonjour/Avahi-discovery över alla nät.
• Fallback är manuell anslutning i Finder: smb://<server-ip>/TimeMachine.

Högrisk-inställningar

Inga högrisk-inställningar används i default-config.

Alternativ som utvärderats men inte valts som default:

• network_mode: host för bättre auto-discovery.

Varför inte default:

• Host network ökar attackytan och isoleringen minskar.
• Manuell SMB-anslutning ger fungerande backupflöde med lägre risk.

Drift och underhåll

• Uppdatera till nyare smb-YYYYMMDD-taggar regelbundet för säkerhetsfixar.
• Rotera Time Machine-lösenord enligt normal credential-policy.
• Verifiera återläsning periodiskt, inte bara backup-jobb.