Backup și restaurare

Panoul Sistem → Platformă → Backup și restaurare (/sistem?c=platforma#panou-backup) e pentru administratorul IT al spitalului. Totul se face pe server de serviciul de actualizare NexusUpdater (rulează ca SYSTEM), cu aceleași scripturi semnate ca backup-ul zilnic programat (sarcina „Nexus Backup” din Task Scheduler): pagina nu poate cere altceva decât operațiile de mai jos, iar un backup se alege numai din listă.

Fiecare operație se scrie întâi în jurnalul de audit (sistem.backup.acum, sistem.backup.verificare, sistem.backup.restaurare; o parolă greșită la restaurare: sistem.backup.restaurare.parola-gresita).

Ce arată panoul

• Avertizările roșii (cu ⚠): backup-ul zilnic lipsește de mai mult de N ore, ultimul backup zilnic a eșuat (cu motivul), copia în afara serverului nu s-a făcut, sarcina „Nexus Backup” lipsește sau e dezactivată. Aceleași probleme pleacă și prin e-mail (o dată pe zi pe problemă) la destinatarii din Sistem → Comunicare → E-mail și alerte.
• Sarcina zilnică: ora și păstrarea, ultima rulare, rezultatul (0 = reușită), următoarea rulare. Butonul Pornește backup-ul zilnic (sau Schimbă / oprește backup-ul zilnic, când rulează) deschide formularul de mai jos.
• Destinația backup-urilor și spațiul liber, momentul ultimului backup zilnic reușit, copia în afara serverului.
• Criptarea: pornită sau nu și amprenta cheii (ex. AB12-CD34-EF56-7890).
• Lista: data, felul (zilnic, manual, înainte de actualizare, înainte de restaurare, criptat), fișierul, mărimea, durata, verificarea (la creare, sau ultima verificare / restaurare de test) și copia externă.
• Ultima restaurare: după repornirea aplicației, rezultatul ei (reușită, nefăcută, revenită pe baza de dinainte sau oprită pentru intervenție), cu pașii.

Fă un backup acum

Un backup al bazei (fără documente), cu aplicația pornită, în aceeași destinație ca backup-ul zilnic, cu numele <Baza>-manual-<data>-<ora>.sql.gz (sau .sql.gz.nxenc, criptat). Se verifică la fel ca cel zilnic (dump complet, arhivă recitită), se copiază în a doua destinație, dacă e configurată, și apare în listă. Panoul se actualizează singur cât rulează.

Documentele de pe disc (și cele din portal)

Fișierele (documentele atașate în dosare, documentele aduse de pacienți din portal, arhivele „Descarcă datele mele”, scanările) stau în folderul de documente al serverului (Documente__Cale din nexus.env, de obicei <Rădăcină>\documente), nu în bază. Numai backup-ul zilnic („Nexus Backup”) le copiază: după baza de date, oglindește tot folderul în <destinația backup-urilor>\documente (cu subfolderele pe an și lună). Dacă folderul dat sarcinii nu există, baza se salvează, dar rularea iese cu codul 2 („baza salvată, documentele nu”) și apare avertizarea.

• Fă un backup acum, backup-ul dinainte de actualizare și cel dinainte de restaurare sunt numai ale bazei (documentele nu se schimbă la actualizare sau la restaurare).
• Oglinda e starea de azi: un fișier șters din Nexus dispare și din copie la rularea următoare, nu există istoric pe zile. Nu e criptată și nu se copiază în a doua destinație. Pentru documente, păstrați destinația pe un NAS cu snapshot-uri (copii pe zile) sau copiați-o separat în afara serverului.
• Arhivele „Descarcă datele mele” expiră după 24 de ore și se șterg singure, deci rareori ajung în copie; documentele aduse de pacienți rămân (până le retrage pacientul cât sunt de verificat).

Verifică și Restaurare de test

• Verifică (integritatea, fără nicio bază): SHA-256 al fișierului față de cel scris la backup, HMAC-ul și decriptarea (la un backup criptat), citirea integrală a arhivei, dump-ul complet. Nu atinge nimic.
• Restaurare de test: tot ce face „Verifică”, plus încărcarea backup-ului într-o bază temporară (<baza>_repetitie, aceeași folosită de repetiția migrării), compararea migrărilor (și, la backup-urile de dinainte de actualizare / restaurare, a numărului de rânduri), apoi ștergerea bazei temporare. Baza de producție nu se atinge. Recomandat: o dată pe lună și după orice schimbare a destinației sau a cheii.

Rezultatul apare în coloana „Verificare”. O arhivă trunchiată (copiere întreruptă, disc plin) sau stricată apare ca „arhiva e coruptă / incompletă”, înaintea oricărei alte verificări a dump-ului; un astfel de backup nu se poate restaura — folosiți altul din listă (sau copia din a doua destinație).

Restaurează…

Înlocuiește baza de date cu cea din backup-ul ales. Tot ce s-a lucrat în Nexus după momentul backup-ului se pierde din baza de date (documentele de pe disc rămân). Dialogul cere numele exact al backup-ului (de copiat din coloana „Fișier”), parola contului dumneavoastră și, dacă aveți autentificarea în doi pași, codul de acum din aplicație. Versiunea backup-ului se verifică din fișierul însuși: un backup dintr-o versiune Nexus mai nouă e refuzat înainte de orice modificare. După repornire, rezultatul restaurării (cine, de unde, ce fișier) apare în jurnalul de audit, chiar dacă baza a revenit la momentul backup-ului.

Ce se întâmplă pe server, în ordine:

1. Poarta de mentenanță: utilizatorii văd „Nexus se restaurează dintr-un backup” (pasul curent din 6).
2. Aplicația (NexusApi) se oprește.
3. Backup-ul de siguranță al bazei de acum, cu aplicația oprită (pre-restaurare), verificat.
4. Restaurarea backup-ului ales. Un backup făcut cu o versiune Nexus mai nouă decât cea instalată e refuzat aici, înainte de a atinge baza.
5. Migrarea: un backup mai vechi primește schema versiunii instalate.
6. Pornirea aplicației, verificarea ei, apoi poarta se ridică.

Dacă ceva eșuează înainte de pasul 4, baza nu e atinsă: aplicația repornește ca înainte. Dacă eșuează după ce baza a fost atinsă (încărcarea, migrarea, pornirea), updater-ul pune automat înapoi backup-ul de siguranță și repornește aplicația pe baza de dinainte. Numai dacă nici asta nu reușește, Nexus rămâne oprit cu pagina „intervenție tehnică”, iar IT-ul primește e-mailul și evenimentul 1500 (procedura manuală: documentația de instalare, „Restaurarea manuală”). O oprire a serverului în timpul restaurării se rezolvă la repornirea serviciului NexusUpdater (de regulă prin revenirea pe backup-ul de siguranță).

Restaurarea nu pornește cât rulează o altă operație (actualizare, repetiția migrării, dictarea locală, alt backup) sau cu o actualizare programată în mai puțin de 3 ore.

Criptarea și cheia

Din Sistem → Platformă → „Backup și restaurare” → Criptează backup-urile: backup-urile noi (zilnic, manual, înainte de actualizare / restaurare) se criptează (AES-256 + HMAC-SHA256). La prima salvare updater-ul creează cheia pe server, în folderul de secrete al instalării (<Rădăcină>\secrete\backup-criptare.key, accesibil numai administratorilor și SYSTEM).

FĂRĂ CHEIE, UN BACKUP CRIPTAT NU SE MAI POATE RESTAURA DE NIMENI (nici de furnizor). Imediat după pornirea criptării, IT-ul face o copie offline a cheii: pe server, într-o consolă „ca administrator”, în <Rădăcină>\updater\curent: NexusUpdater.exe backup-cheie --exporta E:\cheie-backup-nexus.key (pe un stick păstrat într-un seif, separat de server; eventual și tipărită). Amprenta afișată de comandă trebuie să fie aceeași cu cea din panou. Cheia nu se poate descărca din pagină.

Oprirea criptării nu șterge cheia (backup-urile vechi criptate au nevoie de ea). Pe un server nou (după o pierdere a serverului), cheia din copia offline se pune înapoi în <Rădăcină>\secrete\backup-criptare.key înaintea restaurării.

Copia în afara serverului

Copia în afara serverului (a doua destinație): o cale UNC spre un NAS sau alt server (\\nas\backup\nexus) sau un disc local separat. Se schimbă numai din panou → „Schimbă” (lângă „Copia în afara serverului”), cu parola și codul 2FA, de cine are și actualizari.administrare; destinația trebuie să fie una permisă de IT pe server (asistentul de instalare, „BackupCopieDestinatiiPermise”), altfel e refuzată. Cu o copie configurată backup-urile se criptează automat (o copie necriptată nu pleacă de pe server) — faceți copia offline a cheii. După fiecare backup reușit, fișierul (și rezultatul lui) se copiază în <destinație>\<fel>\ și se verifică cu SHA-256. Backup-ul rulează ca SYSTEM, deci pe un share de rețea trebuie să poată scrie contul calculatorului serverului (DOMENIU\SERVER$). O copie eșuată nu strică backup-ul, dar apare cu roșu și pleacă alerta.

Pentru protecția împotriva ransomware: destinația a doua ar trebui să fie imutabilă (snapshot-uri pe NAS, „WORM” / object lock, sau un disc deconectat prin rotație), nu un share pe care îl poate șterge oricine are drepturi pe server.

Pornirea și oprirea backup-ului zilnic

Sub rândul sarcinii zilnice, Pornește backup-ul zilnic / Schimbă / oprește backup-ul zilnic: bifa Backup zilnic pornit, Ora (zilnic) și Se păstrează (zile), apoi parola contului (și codul 2FA, dacă e cazul) și Salvează. Updater-ul creează sau actualizează sarcina „Nexus Backup” din Task Scheduler (SYSTEM, zilnic la ora aleasă), cu aceeași comandă ca asistentul de instalare; folderul backup-urilor nu se alege din pagină (rămâne cel al sarcinii sau al serverului). Fără bifă, sarcina se dezactivează (nu se șterge) și pagina arată „Backup-ul zilnic e OPRIT (oprit din pagină de …)”; nu mai pleacă alerta „backup lipsă”. Schimbarea se scrie în jurnalul de audit.

Și cu backup-ul zilnic oprit, fiecare actualizare își face copia de siguranță a bazei dinainte (și revine pe ea la eșec). Lipsește însă copia de pe ziua precedentă: la o defecțiune a bazei între actualizări, nu există de unde restaura.

Când backup-ul zilnic nu rulează sau eșuează

• Amânat: cât Nexus e oprit pentru o actualizare sau o restaurare, backup-ul zilnic se amână singur (în Task Scheduler „0x3”); nu e o eroare. Dacă se amână mai mult de o zi, apare „backup lipsă”.
• Ocupat: cât rulează backup-ul zilnic, „Backup acum”, verificarea și restaurarea așteaptă (panoul spune de ce).
• Criptarea nu s-a putut face (cheia lipsește de pe server): backup-ul eșuează cu „CRIPTAREA E CERUTĂ, DAR NU S-A PUTUT FACE” și nu rămâne nicio copie necriptată. Puneți cheia din copia offline în <Rădăcină>\secrete\backup-criptare.key.
• Backup necriptat deși criptarea e cerută: un backup făcut cu un script vechi sau de mână; verificați sarcina „Nexus Backup”.

Când panoul spune că NexusUpdater nu răspunde

În locul stării și al listei, panoul arată un singur mesaj, de exemplu „Serviciul NexusUpdater nu rulează sau nu răspunde. Pe server, într-o consolă ca administrator: Get-Service NexusUpdater (oprit: Start-Service NexusUpdater). …”, cu legătura spre acest ghid; butoanele (backup acum, verificare, restaurare) nu apar, pentru că totul trece prin updater.

• Serviciul e oprit: pe server, într-o consolă PowerShell „ca administrator”, Get-Service NexusUpdater, apoi Start-Service NexusUpdater; după un minut reîncărcați pagina.
• „API-ul nu are acces la serviciul NexusUpdater”: pe server, sc sidtype NexusApi unrestricted, apoi reporniți serviciul NexusApi.
• „Serviciul NexusUpdater e o versiune mai veche, fără backup-ul din Sistem”: updater-ul se aduce la zi odată cu următoarea actualizare (Actualizări); până atunci panoul nu e disponibil.
• Backup-ul zilnic nu depinde de panou: sarcina „Nexus Backup” rulează oricum și scrie backup-urile în destinația obișnuită; alertele prin e-mail pentru backup lipsă sau eșuat pleacă în continuare.
• O restaurare urgentă fără updater se face pe server, de IT, cu scriptul instalat în <Rădăcină>\curent\deploy\restaurare.ps1 (întâi -Mod Verificare -Fisier <backup>, apoi restaurarea, cu NexusApi oprit), după procedura „Restaurarea manuală” din documentația de instalare primită de la furnizor; dacă nu o aveți la îndemână, sunați furnizorul înainte de orice comandă pe baza de date.

Setări

Sistem → Platformă → „Backup și restaurare”: criptarea, a doua destinație și după câte ore fără backup zilnic reușit pleacă alerta (implicit 26). Ora și păstrarea backup-ului zilnic se schimbă din panou (Pornește / Schimbă / oprește backup-ul zilnic) sau cu asistentul de instalare.