Cómo copiar una carpeta de tu servidor a S3 cada noche con un solo comando (aws s3 sync)

Las instantáneas de la máquina son la copia "gorda": todo el disco, para cuando algo se rompe. Pero a veces quieres algo más fino y más barato: una copia diaria de una carpeta (las subidas de la web, los documentos, un volcado de la base de datos) en un sitio fuera de la máquina, del que puedas recuperar un solo fichero sin restaurar nada. Eso es S3, y la herramienta de línea de comandos de AWS trae un comando, aws s3 sync, que copia solo lo que ha cambiado. Programado cada noche, es la copia de ficheros más barata y fiable que puedes tener.

Paso a paso

1. Crea el bucket

   Consola de S3, Crear bucket, nombre único (copias-miempresa-web), misma región que la máquina (así la transferencia entre ambos no gasta cuota ni se cobra), bloquear todo el acceso público activado, control de versiones activado y cifrado por defecto. Crea.

2. Crea una clave que solo pueda escribir en ese bucket

   En IAM, crea una política con este contenido (cambia el nombre del bucket) y un usuario copias-web con esa política y una clave de acceso, como explica la guía de usuario IAM con permisos mínimos:

   {
     "Version": "2012-10-17",
     "Statement": [
       { "Effect": "Allow", "Action": ["s3:ListBucket"], "Resource": "arn:aws:s3:::copias-miempresa-web" },
       { "Effect": "Allow", "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"], "Resource": "arn:aws:s3:::copias-miempresa-web/*" }
     ]
   }

   Si esa clave se filtrara algún día, lo único que podría hacer alguien es tocar ese bucket. Nada más.

3. Instala la herramienta de AWS en la máquina

   Por SSH, en Ubuntu o Debian:

   sudo apt update && sudo apt install -y awscli

   (En Amazon Linux ya viene instalada.) Configúrala con la clave del paso anterior:

   aws configure

   Te pide el identificador de la clave, el secreto, la región (eu-west-1, por ejemplo) y el formato de salida (deja json). Quedan guardados en la carpeta del usuario, solo legibles por él.

4. Prueba el comando a mano

   aws s3 sync /var/www/html/uploads s3://copias-miempresa-web/uploads --delete

   La primera vez tarda, porque sube todo; verás cada fichero pasar. Las siguientes solo suben lo que ha cambiado. La opción --delete borra en el bucket lo que ya no está en la carpeta, para que la copia sea un espejo; con el control de versiones activado, lo borrado sigue recuperable. Comprueba en la consola de S3 que los ficheros están ahí.

5. Añade la base de datos si la tienes

   Para que la copia tenga también la base de datos, vuélcala antes a un fichero en la misma carpeta que se sincroniza, por ejemplo con un pequeño script /usr/local/bin/copia.sh:

   #!/bin/bash
   mysqldump -u usuario -pCONTRASEÑA nombre_bd | gzip > /var/copias/bd-$(date +%F).sql.gz
   find /var/copias -name "bd-*.sql.gz" -mtime +7 -delete
   aws s3 sync /var/copias s3://copias-miempresa-web/bd
   aws s3 sync /var/www/html/uploads s3://copias-miempresa-web/uploads --delete

   Dale permisos de ejecución (chmod 700) y pruébalo con sudo /usr/local/bin/copia.sh. La línea de find borra en la máquina los volcados de más de una semana; en S3 se quedan.

6. Prográmalo cada noche

   sudo crontab -e

   Añade al final una línea para las 3:30 de la madrugada (hora de la máquina, que suele ser UTC):

   30 3 * * * /usr/local/bin/copia.sh >> /var/log/copia.log 2>&1

   Guarda. Al día siguiente mira /var/log/copia.log y la fecha de los ficheros en S3. Pon además una regla de ciclo de vida en el bucket que borre las versiones antiguas pasados 30 o 90 días, para que no crezca sin fin (guía en esta sección).

Qué puede salir mal