UEFI のセキュアブートが有効な Ubuntu 24.04（Debian 系 Linux）の保護対象に、Veeam Backup & Replication 13.1 の Protection Group で出力した事前構成済みインストーラで Veeam Agent をインストールし、ベアメタル復旧用の起動 ISO を作成して、別のコンピュータ（空のディスク）にベアメタル復旧する手順です。復旧後に、バックアップサーバへ登録し直す手順も説明します。
この記事の前提
検証環境
| 項目 | 内容 |
|---|---|
| バックアップサーバ | Veeam Backup & Replication 13.1.1.18（Community Edition）、Windows Server 2025 |
| 保護対象 | Windows 10 22H2、Windows 11、Rocky Linux 8.10、Ubuntu 24.04 |
| Veeam Agent | Veeam Agent for Microsoft Windows 13.1.1.700、Veeam Agent for Linux 13.1.1.4 |
表記について
- 「※【公式】」：Veeam の公式ドキュメントに記載がある内容です。出典を併記しています。
- 「※【検証結果】」：公式ドキュメントでは確認できず、上記の検証環境で動作を確認した内容です。
事前の準備
Linux 用フォルダから、以下のファイルを保護対象の任意のディレクトリ（例：~/VeeamAgentPackage）にコピーしてから実施します。
・<Protection Group 名>.xml
・libs\veeam-libs_13.1.1.4_amd64.deb
・Ubuntu 24.4 x64 – 13.1.1.4\ 内のファイル
インストール時に、カーネルモジュールの作成に必要なパッケージ（dkms、build-essential など）が自動でインストールされます。インターネットに接続できない環境では、同じバージョンの OS で事前にパッケージをダウンロードして持ち込みます。
事前構成済みインストーラのインストール手順
(1) コピーしたファイルを確認します。
cd <ファイルをコピーしたディレクトリのパス>
ls -1
(2) 以下のコマンドでインストールします。
sudo apt-get install -y ./veeam-libs_13.1.1.4_amd64.deb ./blksnap_13.1.1.4_amd64.deb ./veeam_13.1.1.4_amd64.deb
(3) インストールの途中で「Configuring Secure Boot」が表示されます。[<Ok>]で Enter キーを押します。
※【公式】Ubuntu では DKMS が作成した鍵を MOK に登録します。この画面が表示されない場合は、インストール後に以下のコマンドで手動で登録します。出典：Veeam Agent for Linux User Guide「Configuring UEFI Secure Boot」 https://helpcenter.veeam.com/docs/agentforlinux/userguide/installation_uefi_secure_boot.html
sudo mokutil --import /var/lib/shim-signed/mok/MOK.der(4) MOK 登録用のパスワードを決めて入力し、[<Ok>]で Enter キーを押します。このパスワードは再起動後の MOK 登録で使用します。
(5) 同じパスワードを再度入力し、[<Ok>]で Enter キーを押します。
※ 画像の入力値は伏せています。
(6) インストールが完了します。
(7) 登録待ちの鍵を確認します。この時点ではカーネルモジュールを読み込めません（「Key was rejected by service」）。
sudo mokutil --list-new | grep -E "Subject:"
(8) 再起動します。
sudo reboot
(9) コンソールに MOK 管理画面が表示されたら、10 秒以内に任意のキーを押し、[Enroll MOK]を選択して Enter キーを押します。
(10) [Enroll MOK]画面が表示されます。
(11) [Continue]を選択して Enter キーを押します。
(12) [Enroll the key(s)?]が表示されます。
(13) [Yes]を選択して Enter キーを押します。
(14) (4) で決めたパスワードを入力して Enter キーを押します。
(15) [Reboot]を選択して Enter キーを押します。
(16) OS が起動したら、鍵が登録され、カーネルモジュールを読み込めることを確認します。
mokutil --sb-state; sudo mokutil --list-enrolled | grep "Subject:"
sudo modprobe veeamblksnap && lsmod | grep blksnap
(17) バックアップサーバに登録し、登録されたことを確認します。
sudo veeamconfig mode setVbrSettings --cfg "<ファイルをコピーしたディレクトリのパス>/Protection Group 1.xml"
sudo veeamconfig mode info; systemctl is-active veeamservice
(18) バックアップを実行します（バックアップ実行手順を参照）。
sudo veeamconfig job start --name "Linux Backup Policy"
起動 ISO 生成手順
セキュアブート有効の場合は、Veeam が配布する共通の起動 ISO を使用します。
※【公式】カスタム ISO はセキュアブートが有効な UEFI システムでは使用できません。出典：「Creating Custom Veeam Recovery Media」 https://helpcenter.veeam.com/docs/agentforlinux/userguide/recovery_media_create.html
(1) 以下のコマンドで起動 ISO をダウンロードします。
mkdir -p ~/vrm; sudo veeamconfig downloadIso --output ~/vrm; ls -lh ~/vrm
(2) ダウンロードした「veeam-recovery-amd64-13.0.0.iso」を、USB メモリ・光学メディアに書き込むか、仮想マシンの CD/DVD ドライブにマウントして使用します。
ベアメタル復旧手順
設定項目の説明はRocky Linux 8.10（セキュアブート有効）の記事の「ベアメタル復旧手順」を参照してください。
(1) 復旧先のコンピュータを起動 ISO から起動します。[Proceed without SSH]を選択して Enter キーを押します。
(2) 2 つのライセンスにチェックを入れ、[Continue]を選択して Enter キーを押します。
(3) [Restore volumes]を選択して Enter キーを押します。
(4) [Add Veeam backup repository…]を選択して Enter キーを押します。
(5) バックアップサーバの IP アドレス、ユーザ名、ホスト名（Domain）、パスワードを入力し、[Next]で Enter キーを押します。
(6) [Accept]を選択して Enter キーを押します。
(7) 復旧するコンピュータのバックアップを選択し、Enter キーを押します。
(8) 復元ポイントを選択し、Enter キーを押します。
(9) 復旧先のディスク「sda」を選択し、Enter キーを押します。
(10) [Restore from…]を選択して Enter キーを押します。
(11) バックアップ側のディスク「sda」を選択して Enter キーを押します。
(12) 割り当てを確認し、S キーを押します。続けて表示される内容を確認し、Enter キーを押して復元を開始します。
(13) 「Status: Success」と表示されたら、Esc キーでメインメニューに戻ります。
(14) 起動 ISO を取り外し、[Reboot]を選択して Enter キーを押します。
(15) 復元した OS が起動することを確認します。
(16) 復旧先のコンピュータでは MOK の鍵が登録されていないため、カーネルモジュールを読み込めません。以下のコマンドで鍵の登録を予約します（パスワードを 2 回入力します）。
※【検証結果】復旧後に MOK を登録し直す手順は公式ドキュメントでは確認できず、検証環境で確認した内容です。
mokutil --sb-state; sudo modprobe veeamblksnap
sudo mokutil --import /var/lib/shim-signed/mok/MOK.der
(17) 再起動し、「事前構成済みインストーラのインストール手順」の(9)〜(15)と同じ手順で鍵を登録します。
・[Enroll MOK]を選択して Enter キーを押します。
・[Continue]を選択して Enter キーを押します。
・[Yes]を選択して Enter キーを押します。
・(16) で決めたパスワードを入力して Enter キーを押します。
・[Reboot]を選択して Enter キーを押します。
(18) 再起動後、カーネルモジュールを読み込めることを確認します。復旧したコンピュータはハードウェア ID が変わるため、このままではバックアップサーバに接続できません（「has no valid private key」）。
※【検証結果】(18)〜(24) の再登録の手順は公式ドキュメントでは確認できず、検証環境で確認した内容です。 再登録すると、それまでのバックアップとは別のバックアップチェーンになります。
(19) 同期や再登録を行うと、「Failed to find the agent certificate」「the agent with the same hostname is already registered」と表示されます。
(20) バックアップサーバのコンソールで、[Inventory]の Protection Group から復旧したコンピュータを右クリックし、[Remove from configuration]をクリックします。
(21) 確認画面で[Yes]をクリックします。
(22) 削除されたら[OK]をクリックします。
(23) 復旧したコンピュータで、再度バックアップサーバに登録します。「Reconfigure anyway?」には「yes」と入力します。
sudo veeamconfig mode setVbrSettings --cfg "<ファイルをコピーしたディレクトリのパス>/Protection Group 1.xml"
(24) ポリシーを同期してバックアップを実行し、「Success」になることを確認します。再登録後の最初のバックアップはフルバックアップになります。
sudo veeamconfig mode syncNow; sudo veeamconfig job start --name "Linux Backup Policy"
sudo veeamconfig session list | grep -E "Job name|Linux Backup"
