Recovery kit и мастер-ключ

Что такое recovery kit

Recovery kit — файл, с которым данные поднимаются без панели: если панель сломалась, её сервер потерян или вы восстанавливаете сервер на новой машине.

Внутри:

• адрес панели;
• хранилища: endpoint, регион, bucket, префикс;
• ключи S3: ключ хранилища в режиме «Один на все серверы» или ключи серверов в режиме «Свой у каждого сервера»;
• все серверы, у которых есть репозитории, — в том числе отключённые, если их бэкапы ещё лежат в хранилищах;
• адреса их репозиториев и пароли restic.

Мастер-ключа панели в kit нет.

Как получить

«Настройки» → «Восстановление без панели» → «Recovery kit» → «Скачать» или «Сохранить заново»:

1. Введите пароль от ЛК: в kit все ключи, поэтому одной открытой сессии мало.
2. Задайте пароль для файла, не короче 12 символов. Им файл зашифрован. Панель этот пароль не хранит, восстановить его нельзя.
3. Скачается файл arcula-recovery-kit-<дата>.age.

Сам файл панель не хранит. Каждая выдача записывается в журнал каждого хранилища из kit — «Выдан recovery kit», с IP и браузером.

Где хранить

Офлайн, у себя:

• файл — на своём компьютере, в защищённой папке. Не на серверах и не в хранилищах с бэкапами: kit нужен как раз тогда, когда их нет;
• пароль от файла — в менеджере паролей, например KeePass.

После каждой выдачи ЛК показывает окно «Куда положить recovery kit» с этими шагами.

В kit — ключи ко всем хранилищам и пароли всех репозиториев. Кто получил файл и пароль от него, получил все бэкапы.

Когда kit устаревает

Kit — снимок на момент выдачи. Он устаревает, когда меняется то, что в нём лежит:

• подключили хранилище или заменили его ключ;
• задали или заменили ключ сервера в режиме «Свой у каждого сервера»;
• появился новый репозиторий — подтвердили план нового сервера или добавили хранилище в план.

Тогда в настройках у kit — «устарел», а на странице серверов — «Recovery kit устарел: с тех пор менялись хранилища или ключи.» и ссылка «Сохранить →». Скачайте kit заново и замените им старый файл. Если kit ещё ни разу не сохраняли — «Recovery kit не сохранён: без него данные не поднять, если панели не будет.»

Как им пользоваться

Проверить файл:

sudo arcula kit verify ./arcula-recovery-kit-2026-10-24.age

Восстановить:

sudo arcula restore --kit ./arcula-recovery-kit-2026-10-24.age

Поднять бэкап другого сервера можно только по kit: доступа к чужим репозиториям у агента нет. Без arcula файл открывается командой age -d: внутри JSON с ключами и паролями, с ними данные поднимает и обычный restic.

Мастер-ключ панели

Мастер-ключ — ключ, которым панель шифрует секреты в своей базе:

• ключи S3 хранилищ и серверов;
• пароли restic-репозиториев;
• токен бота Telegram, адреса и ключи подписи webhook.

Он лежит вне базы: в файле, в переменной окружения или в Vault. ЛК самого ключа не показывает — только где он: «Настройки» → «Мастер-ключ панели», например «файл /run/secrets/arcula_master_key».

Зачем его сохранять. База панели бэкапится тем же arcula. Если панель придётся поднимать из бэкапа её базы, без мастер-ключа секреты в базе не открыть: панель запустится, но не сможет работать с хранилищами, выдавать планы агентам, собрать kit и слать уведомления. Останется восстанавливать данные по kit — без панели.

Что сделать:

1. Скопируйте ключ оттуда, где он лежит, в менеджер паролей — рядом с паролем от kit.
2. Нажмите «Я сохранил» в настройках: напоминание на странице серверов пропадёт.

Мастер-ключ вместе с базой панели открывает все хранилища. Держите копию только офлайн, в менеджере паролей.