UEFI のセキュアブートが有効な Rocky Linux 8.10（Red Hat 系 Linux）の保護対象に、Veeam Backup & Replication 13.1 の Protection Group で出力した事前構成済みインストーラで Veeam Agent をインストールし、ベアメタル復旧用の起動 ISO を作成して、別のコンピュータ（空のディスク）にベアメタル復旧する手順です。セキュアブートが無効の場合はこちらの記事を参照してください。
この記事の前提
検証環境
| 項目 | 内容 |
|---|---|
| バックアップサーバ | Veeam Backup & Replication 13.1.1.18（Community Edition）、Windows Server 2025 |
| 保護対象 | Windows 10 22H2、Windows 11、Rocky Linux 8.10、Ubuntu 24.04 |
| Veeam Agent | Veeam Agent for Microsoft Windows 13.1.1.700、Veeam Agent for Linux 13.1.1.4 |
表記について
- 「※【公式】」：Veeam の公式ドキュメントに記載がある内容です。出典を併記しています。
- 「※【検証結果】」：公式ドキュメントでは確認できず、上記の検証環境で動作を確認した内容です。
事前の準備
Linux の保護対象には、Protection Group 作成手順で出力した Linux 用フォルダから、以下のファイルを保護対象の任意のディレクトリ（例：~/VeeamAgentPackage）にコピーしてから実施します。
・<Protection Group 名>.xml
・libs\veeam-libs-13.1.1.4-1.x86_64.rpm
・Red Hat 8 x64 – 13.1.1.4\ 内のファイル
インストール時に、依存するパッケージ（python3 関連）が OS のリポジトリから自動でインストールされます。インターネットに接続できない環境では、同じバージョンの OS のインストール DVD をリポジトリとして設定してから実施します。
事前構成済みインストーラのインストール手順
(1) 事前準備として、ブートローダ（shim、grub2）を最新に更新し、再起動します。
※【検証結果】この手順は公式ドキュメントでは確認できず、検証環境で確認した内容です。
sudo dnf update -y shim-x64 grub2-efi-x64
sudo reboot
※ Veeam の起動 ISO で起動すると、UEFI の失効情報（SBAT）が新しい世代に更新されます。古い grub2（2.02-156 など）のままバックアップすると、復旧後に「Verification failed: (0x1A) Security Violation」と表示されて OS が起動しません。
(2) コピーしたファイルを確認します。
cd <ファイルをコピーしたディレクトリのパス>
ls -1
(3) 以下のコマンドでインストールします。セキュアブート有効の場合は「veeam-ueficert」も指定します。
※【公式】セキュアブート有効の場合は、veeam-ueficert パッケージで Veeam の証明書を MOK に登録します（公式手順ではリポジトリから veeam-ueficert パッケージをインストールします。本手順ではコピーした rpm ファイルを指定します）。証明書が自動で取り込まれた場合、再起動後の MOK 登録画面では root のパスワードを入力します。出典：Veeam Agent for Linux User Guide「Configuring UEFI Secure Boot」 https://helpcenter.veeam.com/docs/agentforlinux/userguide/installation_uefi_secure_boot.html
sudo dnf install -y ./veeam-libs-13.1.1.4-1.x86_64.rpm ./veeam-13.1.1.4-1.el8.x86_64.rpm ./kmod-veeamsnap-13.1.1.4-1.el8.x86_64.rpm ./veeam-ueficert-13.1.1.4-1.noarch.rpm
(4) 「Veeam UEFI certificate has been imported successfully.」と表示され、「完了しました！」と表示されたことを確認します。Veeam の証明書が UEFI（MOK）への登録待ちになります。
(5) 登録待ちの証明書を確認します。
sudo mokutil --list-new | grep -E "Subject:"
(6) 再起動します。
sudo reboot
(7) コンソールに MOK 管理画面（青い画面）が表示されたら、10 秒以内に任意のキーを押し、[Enroll MOK]を選択して Enter キーを押します。
(8) [Continue]を選択して Enter キーを押します。
(9) [Yes]を選択して Enter キーを押します。
(10) root のパスワードを入力して Enter キーを押します。
(11) [Reboot]を選択して Enter キーを押します。
※【公式】登録されたことは、以下のコマンドで確認できます（出典は (3) と同じ）。
mokutil -l(12) OS が起動したら、バックアップサーバに登録します。「Protection Group 1」の部分は、コピーした「<Protection Group 名>.xml」の名前に合わせます。
sudo veeamconfig mode setVbrSettings --cfg "<ファイルをコピーしたディレクトリのパス>/Protection Group 1.xml"
(13) バックアップのポリシーを受け取り、バックアップを実行します（バックアップ実行手順を参照）。
sudo veeamconfig mode syncNow; sudo veeamconfig job start --name "Linux Backup Policy"
(14) 以下のコマンドで、バックアップが「Success」になったことを確認します。
sudo veeamconfig session list | grep -E "Job name|Linux Backup"
起動 ISO 生成手順
セキュアブート有効の場合は、Veeam が配布する共通の起動 ISO（Veeam Recovery Media）を使用します。保護対象用に作成するカスタム ISO（セキュアブート無効の記事）はセキュアブートでは起動できません。
※【公式】カスタム ISO には署名のないカーネルが含まれるため、セキュアブートが有効な UEFI システムでは使用できません。出典：Veeam Agent for Linux User Guide「Creating Custom Veeam Recovery Media」 https://helpcenter.veeam.com/docs/agentforlinux/userguide/recovery_media_create.html
(1) ダウンロードに wget を使用するため、インストールされていない場合はインストールします。
※【公式】ダウンロード機能を使う場合は wget が必要です（出典：「Creating Custom Veeam Recovery Media」）。
sudo dnf install -y wget
(2) 以下のコマンドで起動 ISO をダウンロードします。
mkdir -p ~/vrm; sudo veeamconfig downloadIso --output ~/vrm; ls -lh ~/vrm
(3) ダウンロードした「veeam-recovery-amd64-13.0.0.iso」を、USB メモリ・光学メディアに書き込むか、仮想マシンの CD/DVD ドライブにマウントして使用します。
ベアメタル復旧手順
(1) 復旧先のコンピュータを起動 ISO から起動します。SSH の確認が表示されたら[Proceed without SSH]を選択して Enter キーを押します。
| 項目 | 説明 |
|---|---|
| Proceed without SSH | SSH を起動せずに進みます（本手順）。 |
| Start SSH now | リカバリ環境で SSH サーバを起動し、別の端末から SSH で接続して操作できるようにします。何も操作しないと自動で起動します。 |
(2) 2 つのライセンスに Space キーでチェックを入れ、[Continue]を選択して Enter キーを押します。
(3) [Restore volumes]を選択して Enter キーを押します。
(4) [Add Veeam backup repository…]を選択して Enter キーを押します。
(5) [Address]にバックアップサーバの IP アドレス、[Login]にユーザ名、[Domain]にバックアップサーバのホスト名、[Password]にパスワードを入力し、[Next]で Enter キーを押します。
| 項目 | 説明 |
|---|---|
| Authentication | Login and password（ユーザ名とパスワード、本手順）か、Recovery token（バックアップサーバで発行した復旧用のトークン。発行手順はRecovery Token 発行手順を参照）を選びます。 |
| Domain | バックアップサーバのホスト名を入力します（ドメインに参加している場合はドメイン名）。 |
(6) 証明書の確認が表示されたら[Accept]を選択して Enter キーを押します。
(7) 復旧するコンピュータのバックアップを選択し、Enter キーを押します。
(8) 復元ポイントを選択し、Enter キーを押します。
(9) [CURRENT SYSTEM]（復旧先）のディスク「sda」を選択し、Enter キーを押します。
(10) [Restore from…]を選択して Enter キーを押します。
| 項目 | 説明 |
|---|---|
| Restore from… | バックアップ側のディスク（またはボリューム）を選び、同じ構成で復元します（本手順）。 |
| Create GUID / Mbr partition table など | パーティションやボリュームの構成を手動で作り直す場合に使います。 |
(11) バックアップ側のディスク「sda」を選択して Enter キーを押します。
(12) パーティションとボリュームが割り当てられたことを確認し、S キーを押して復元を開始します（割り当てを取り消す場合は Z キー）。
(13) 内容を確認し、Enter キーを押します。
(14) 「Status: Success」と表示されたら、Esc キーでメインメニューに戻ります。
(15) 起動 ISO を取り外し、[Reboot]を選択して Enter キーを押します。
(16) 復元した OS が起動することを確認します。
(17) 復旧先のコンピュータは別のハードウェアとして扱われるため、Veeam の証明書が UEFI（MOK）に登録されていません。以下のコマンドで登録を予約し、再起動して 「事前構成済みインストーラのインストール手順」の(7)〜(11)と同じ手順で登録します。
※【検証結果】復旧後に MOK を登録し直す手順は公式ドキュメントでは確認できず、検証環境で確認した内容です。
sudo mokutil --import /etc/uefi/certs/veeam-ueficert --root-pw
(18) 復旧したコンピュータでバックアップを再開するには、バックアップサーバへの再登録が必要です（Ubuntu 24.04（セキュアブート有効）の記事の「ベアメタル復旧手順」(19)〜(24) を参照）。
※【検証結果】再登録の手順は公式ドキュメントでは確認できず、検証環境で確認した内容です。
