Checkliste für den Wiederherstellungszugang vor Remote-Änderungen an der Boot-Konfiguration

Ziel

Das Risiko verringern, dass eine Änderung der Boot-Konfiguration auf einem Remote-System dazu führt, dass für die Wiederherstellung ein Besuch vor Ort oder ein Support-Ticket beim Rechenzentrumsanbieter nötig wird.

Voraussetzungen

Die Änderung selbst ist bereits geplant (welche Datei, welcher Parameter, welche Unit). Es bleibt genug Vorlaufzeit, um jeden der folgenden Punkte vor der Änderung zu testen und nicht erst währenddessen.

Schritte

1. Sicherstellen, dass ein zweiter Kernel bzw. Boot-Eintrag existiert, der nicht von der Änderung betroffen ist. Unter Linux heisst das in der Regel: Ein früheres Kernel-Paket ist noch installiert und im Boot-Menü aufgeführt. Unter Windows darf sich die Änderung nicht auf den einzigen brauchbaren Boot-Manager-Eintrag auswirken. Kann die Änderung den Standardeintrag unbootbar machen, muss der Fallback bereits vor Beginn vorhanden sein.
2. Den Konsolenzugang jetzt testen, nicht nur annehmen, dass er funktionieren sollte. Bei einem physischen oder dedizierten Server prüfen, ob der Zugang über seriellen Anschluss oder BMC/SOL tatsächlich eine Verbindung aufbaut und eine Eingabeaufforderung zeigt. Bei einer VM prüfen, ob sich die Konsole des Hypervisors oder Cloud-Anbieters verbinden lässt.
3. Ein Boot-Menü-Timeout grösser als null mit sichtbarem Menü setzen oder bestätigen. GRUB_TIMEOUT=0 startet den Standardeintrag sofort, ohne Möglichkeit, einen Fallback zu wählen. Auch Ubuntus GRUB_TIMEOUT_STYLE=hidden und das automatisch ausgeblendete Menü bei Fedora/RHEL (grub2-editenv - unset menu_auto_hide) verbergen das Menü. Einige Sekunden sind GRUB_TIMEOUT=-1 vorzuziehen, da dieser Wert endlos wartet und einen unbeaufsichtigten Neustart im Menü anhält. Wo möglich, einen neuen Kernel als einmaligen Boot testen (grub-reboot/grub2-reboot mit GRUB_DEFAULT=saved; das setzt voraus, dass GRUB beim Start seinen Umgebungsblock schreiben kann, was das GRUB-Handbuch für /boot auf LVM oder RAID ausschliesst; oder efibootmgr -n), sodass ein normaler Reset zum bewährten Eintrag zurückführt.
4. Einen bekannten funktionierenden Snapshot oder ein Backup dessen bereithalten, was geändert wird: für alles, was über eine einzelne Konfigurationsänderung hinausgeht, einen Dateisystem- oder VM-Snapshot; mindestens aber eine Kopie der konkret bearbeiteten Datei (grub.cfg, /etc/default/grub, der BCD-Store via bcdedit /export, fstab, eine Unit-Datei), die ausserhalb des Systems selbst gespeichert ist. Bei BitLocker-geschütztem Windows den Wiederherstellungsschlüssel vor Änderungen an den Boot-Einstellungen extern ablegen.
5. Den Rollback-Schritt vor der Änderung aufschreiben, als konkreten Befehl und nicht als Vorsatz, es «bei Bedarf schon herauszufinden»: welche Datei wiederherzustellen ist, auf welchen Snapshot zurückgegangen wird, mit welchem Konsolenbefehl der vorherige Kernel wieder ausgewählt wird.
6. Die Änderung durchführen und danach über denselben Zugangsweg prüfen, der im Fehlerfall zum Einsatz käme, also über die Konsolenverbindung und nicht nur über den Netzwerkpfad, den die Änderung selbst beeinträchtigen könnte.
7. Erst nach bestätigtem Erfolg alles wieder verschärfen, was für die Änderung bewusst gelockert wurde (GRUB_TIMEOUT auf den normalen Wert zurücksetzen), und das Backup aus Schritt 4 verwerfen.

Erwartetes Ergebnis

Eine fehlgeschlagene Änderung der Boot-Konfiguration lässt sich innerhalb einer Konsolensitzung mit dem vorab formulierten Rollback beheben, ohne physischen Zugriff vor Ort oder ein Support-Ticket beim Anbieter.

Grenzen und Prüfbasis

Dies ist eine vorgeschlagene operative Checkliste und keine technische Kontrolle. Sie verringert Wahrscheinlichkeit und Kosten eines Aussperrens, kann aber nicht jede fehlerhafte Konfiguration aus der Ferne wiederherstellbar machen: Bei einem tatsächlichen Festplatten- oder Firmware-Defekt ist weiterhin ein Eingriff vor Ort oder durch den Anbieter nötig. Es werden keine Experimente oder Vorfalldaten beansprucht; für die technischen Punkte (Fallback-Kernel, GRUB_TIMEOUT, Konsolenzugang, bcdedit /export) gibt es eigene Primärquellen in den verwandten Artikeln.