Sauvegarder les VM, les postes de travail et Microsoft 365

Chaque type d'élément se sauvegarde à sa façon. Une machine virtuelle se sauvegarde le plus souvent en entier, par l'hyperviseur, sous forme d'image. Un poste de travail se protège surtout en ne gardant pas les données dessus : elles vont sur un serveur ou dans le cloud, et le poste se réinstalle. Un service en ligne comme Microsoft 365 reste sous la responsabilité de l'entreprise pour ses données : le fournisseur garantit son infrastructure, pas un historique de sauvegarde à la mesure de tes besoins. Ce chapitre détaille les trois, avec Proxmox Backup Server comme exemple de sauvegarde de VM.

Sauvegarder une VM : image ou agent

Deux approches existent pour sauvegarder une machine virtuelle, et l'ANSSI les compare dans son guide.

• La sauvegarde au niveau de l'hyperviseur (image) : l'hyperviseur prend un instantané de la VM, le logiciel de sauvegarde copie ses disques virtuels, puis l'instantané est supprimé. Aucun logiciel à installer dans la VM, une restauration complète en une opération, des sauvegardes incrémentales rapides grâce au suivi des blocs modifiés.
• La sauvegarde par agent : un logiciel installé dans la VM sauvegarde des fichiers ou des applications, comme sur un serveur physique.

L'ANSSI suggère une solution hybride : sauvegarder la VM entière à une fréquence faible, et les données à l'intérieur à une fréquence plus forte. C'est ce que fait Alvéa avec l'ERP : image de la VM chaque nuit, export de la base et journaux de transactions en continu.

Sauvegarder les VM avec Proxmox Backup Server

Proxmox Backup Server (PBS) s'installe sur une machine dédiée, physique de préférence, avec ses propres disques (souvent en ZFS). Il stocke les sauvegardes dans des magasins de données (datastores). Proxmox VE le voit comme un stockage de type « Proxmox Backup Server » et lui envoie les sauvegardes des VM et des conteneurs.

Comment se passe une sauvegarde. Proxmox VE lance l'outil vzdump en mode snapshot : la VM continue de tourner, l'agent QEMU installé dans la VM gèle un instant les systèmes de fichiers pour obtenir une copie cohérente, et les blocs sont envoyés à PBS. Tant que la VM n'a pas été arrêtée, une bitmap des blocs modifiés permet de ne lire que les blocs écrits depuis la sauvegarde précédente : une VM de 200 Go dont 2 Go ont changé se sauvegarde en quelques secondes. Après un arrêt de la VM, la bitmap est perdue et le disque est relu entièrement, mais PBS ne stocke toujours que les morceaux nouveaux.

# Sur un nœud Proxmox VE : sauvegarde immédiate de la VM 101 vers le stockage PBS « pbs-alvea »
vzdump 101 --storage pbs-alvea --mode snapshot

# Sur un hôte Linux quelconque : sauvegarder son dossier /etc avec le client PBS
proxmox-backup-client backup etc.pxar:/etc --repository 'sauvegarde@pbs@srv-pbs.alvea.lan:depot1'

En pratique, on planifie les sauvegardes dans l'interface de Proxmox VE (Centre de données, Sauvegarde) : quelles VM, quel jour, à quelle heure, vers quel stockage.

Les fonctions à connaître.

La connexion entre Proxmox VE et PBS est chiffrée en TLS. Quand PBS utilise un certificat autosigné, Proxmox VE enregistre son empreinte (fingerprint) et refuse la connexion si le certificat présenté change : c'est ce qui empêche un faux serveur de recevoir les sauvegardes.

Les VM sous VMware et Hyper-V

Le principe est le même avec les autres hyperviseurs : un instantané, la lecture des blocs modifiés (Changed Block Tracking chez VMware, Resilient Change Tracking chez Hyper-V), puis la suppression de l'instantané. Les logiciels comme Veeam pilotent l'hyperviseur, déclenchent les clichés VSS dans les VM Windows pour la cohérence des applications, et savent restaurer une VM entière, un disque, un fichier ou un objet applicatif.

Sauvegarder les postes de travail

Sauvegarder 60 postes un par un coûte cher et se passe mal (portables éteints, en déplacement). La stratégie habituelle consiste à ne rien laisser d'important sur le poste :

• les documents des utilisateurs vont sur le serveur de fichiers, par la redirection de dossiers (stratégie de groupe), ou dans OneDrive, avec la redirection des dossiers connus (Bureau, Documents, Images) ;
• le système et les applications se réinstallent par une image ou un outil de déploiement, plus vite qu'on ne les restaurerait ;
• les paramètres suivent l'utilisateur (profil, stratégies de groupe, gestion des appareils).

Le serveur de fichiers et OneDrive sont alors sauvegardés, et un poste en panne se remplace en une heure, sans rien perdre.

Certains postes méritent quand même une sauvegarde : un portable de commercial souvent hors connexion, une station de calcul avec des données locales volumineuses, un poste qui pilote une machine de production. On utilise alors un agent (UrBackup, Veeam Agent, la fonction de sauvegarde de l'outil de gestion des postes) vers un serveur dédié. L'ANSSI recommande que les postes, s'ils doivent être sauvegardés, aient leur propre instance de sauvegarde, séparée de celle des serveurs (R4), et elle déconseille de laisser les utilisateurs lancer eux-mêmes des restaurations sur le système d'information sans cadre strict (R18).

Sauvegarder Microsoft 365 et les services en ligne

Avec un service en ligne, le fournisseur s'occupe de la disponibilité de son infrastructure (ses datacenters, ses serveurs, la redondance de ses disques). Les données restent sous la responsabilité du client : c'est le modèle de responsabilité partagée. Microsoft garde certaines données supprimées pendant un temps limité :

Ces mécanismes couvrent les erreurs simples. Ils ne couvrent pas tout :

• une suppression découverte après la période de rétention ;
• un rançongiciel qui chiffre les fichiers d'un poste synchronisé : la version chiffrée est envoyée dans OneDrive (la restauration d'une version antérieure aide, si elle est encore disponible) ;
• un attaquant qui obtient un compte d'administrateur global et supprime en masse ;
• le départ d'un salarié dont le compte a été supprimé il y a deux mois ;
• la résiliation de l'abonnement ou un litige avec le fournisseur.

Les stratégies de rétention de Microsoft Purview conservent des données pour des raisons de conformité, mais elles ne remplacent pas une sauvegarde : elles ne permettent pas de restaurer simplement une boîte entière à un instant donné. Pour une vraie sauvegarde, on utilise un logiciel dédié (Veeam Backup for Microsoft 365 et ses concurrents) qui copie les boîtes aux lettres, OneDrive, SharePoint et Teams vers un stockage que l'entreprise maîtrise, ou le service payant Microsoft 365 Backup, qui garde des points de restauration dans l'environnement de Microsoft.

Pour les autres services en ligne (CRM, logiciel de paie, comptabilité en ligne), on vérifie dans le contrat ce que le prestataire sauvegarde, avec quelle rétention, et comment récupérer ses données en fin de contrat (la réversibilité). Un export régulier des données vers un stockage de l'entreprise est souvent la seule garantie réelle.

Sauvegarder les configurations des équipements

Les commutateurs, routeurs, pare-feu et bornes Wi-Fi ont une configuration qui représente des jours de travail. Elle se sauvegarde à chaque modification : export du fichier de configuration du pare-feu (pfSense exporte un fichier config.xml, OPNsense aussi : voir sauvegarder pfSense), copie de la configuration des commutateurs, et idéalement un outil qui récupère automatiquement les configurations chaque nuit et les range dans un dépôt Git, ce qui donne l'historique des changements. La configuration d'un pare-feu contient des secrets (clés VPN, mots de passe) : son export est chiffré et rangé comme une sauvegarde sensible.

Exercices