Sauvegarder et restaurer : Windows Server Backup, Active Directory et corbeille AD

Sauvegarder un serveur Windows, c'est copier ses données, l'état de son système et sa configuration sur un autre support, pour pouvoir les restaurer après une erreur, une panne ou une attaque. Ce chapitre présente l'outil intégré Sauvegarde Windows Server et sa commande wbadmin, la sauvegarde d'un contrôleur de domaine, la corbeille Active Directory qui restaure un compte supprimé en une commande, et les deux façons de restaurer l'annuaire (non autoritaire et autoritaire). Les principes généraux (types de sauvegarde, règle 3-2-1, PRA) sont dans le cours Sauvegarde, PCA et PRA.

Ce qu'il faut sauvegarder

La fonctionnalité Sauvegarde Windows Server

Windows Server fournit gratuitement la fonctionnalité Sauvegarde Windows Server (Windows Server Backup), avec une console (wbadmin.msc), la commande wbadmin et des cmdlets PowerShell. Elle s'appuie sur le service de cliché instantané (VSS) pour sauvegarder des fichiers ouverts dans un état cohérent.

Install-WindowsFeature Windows-Server-Backup

Elle sait sauvegarder le serveur entier, des volumes, des dossiers, l'état du système ou de quoi faire une récupération complète, vers trois types de destinations :

Une seule planification par serveur est possible. Sauvegarde Windows Server convient à une petite structure ou en complément ; une organisation plus grande utilise un logiciel de sauvegarde dédié, qui gère plusieurs serveurs, les copies hors site, l'immuabilité et les tests de restauration.

# Sauvegarde ponctuelle des volumes C: et D: et de tout ce qui est critique, vers le disque E:
wbadmin start backup -backupTarget:E: -include:C:,D: -allCritical -vssFull -quiet

# Sauvegarde de l'état du système seul
wbadmin start systemstatebackup -backupTarget:E: -quiet

# Les versions disponibles sur la destination
wbadmin get versions -backupTarget:E:

# Une planification quotidienne à 21 h, en PowerShell
$p = New-WBPolicy
Add-WBSystemState -Policy $p
Add-WBBareMetalRecovery -Policy $p
Add-WBVolume -Policy $p -Volume (Get-WBVolume -VolumePath "D:")
Add-WBBackupTarget -Policy $p -Target (New-WBBackupTarget -VolumePath "E:")
Set-WBSchedule -Policy $p -Schedule 21:00
Set-WBPolicy -Policy $p

Sauvegarder un contrôleur de domaine

Pour un contrôleur de domaine, la sauvegarde qui compte est celle de l'état du système : elle contient la base de l'annuaire et SYSVOL. Les règles :

• au moins une sauvegarde par jour de l'état du système d'au moins un contrôleur par domaine (idéalement de chacun) ;
• une sauvegarde de l'annuaire n'est utilisable que si elle est plus récente que la durée de vie des objets supprimés (180 jours par défaut) : au-delà, la restaurer réintroduirait des objets supprimés depuis (chapitre 10) ;
• deux contrôleurs ne sont pas une sauvegarde : une suppression, une modification malveillante ou une corruption se répliquent en quelques secondes de l'un à l'autre ;
• la sauvegarde contient les empreintes de tous les mots de passe du domaine : elle est aussi sensible que le contrôleur lui-même, et se protège en conséquence (chiffrement, accès réservé, stockage séparé).

La corbeille Active Directory

Un technicien supprime par erreur le compte de Karim Morel. Recréer un compte du même nom ne suffit pas : le nouveau compte aurait un autre SID, aucun de ses groupes, aucun de ses droits (chapitre 3). Il faut restaurer l'objet supprimé, avec tous ses attributs.

La corbeille Active Directory, disponible depuis Windows Server 2008 R2, garde les objets supprimés avec tous leurs attributs, y compris leurs appartenances aux groupes, pendant la durée de vie des objets supprimés (180 jours par défaut). On la restaure en ligne, sans redémarrer aucun contrôleur. Elle n'est pas activée par défaut, et son activation est irréversible (ce qui n'a aucun inconvénient).

# Activer la corbeille pour toute la forêt (une fois)
Enable-ADOptionalFeature -Identity "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target "ad.sorbier.example"

# Retrouver un compte supprimé
Get-ADObject -Filter "samAccountName -eq 'kmorel'" -IncludeDeletedObjects -Properties whenChanged, lastKnownParent

# Le restaurer, à son emplacement d'origine
Get-ADObject -Filter "samAccountName -eq 'kmorel'" -IncludeDeletedObjects | Restore-ADObject

Dans le Centre d'administration Active Directory, le conteneur Objets supprimés du domaine liste les objets restaurables : clic droit > Restaurer ou Restaurer sur (vers une autre OU). Pour une OU supprimée avec son contenu, on restaure d'abord l'OU, puis les objets qu'elle contenait.

Mieux vaut encore ne rien supprimer par erreur : les OU sont protégées contre la suppression accidentelle par défaut, et cette protection peut se poser aussi sur les comptes sensibles (case de l'onglet Objet, ou Set-ADObject -ProtectedFromAccidentalDeletion $true).

Restaurer l'annuaire depuis une sauvegarde

Quand la corbeille ne suffit pas (corbeille non activée, objets supprimés depuis trop longtemps, annuaire corrompu, contrôleur détruit), on restaure l'état du système. Il existe deux types de restauration.

Pour un contrôleur perdu alors qu'un autre fonctionne, il y a encore plus simple qu'une restauration : réinstaller un serveur, le promouvoir contrôleur de domaine, et laisser la réplication lui apporter l'annuaire. La restauration non autoritaire sert surtout quand la copie par le réseau serait trop longue, ou pour récupérer un contrôleur dans son état exact.

Les étapes d'une restauration de l'état du système sur un contrôleur :

1. Redémarrer en mode de restauration des services d'annuaire (DSRM) : bcdedit /set safeboot dsrepair puis redémarrer, ou touche de démarrage avancé.
2. Ouvrir la session avec le compte Administrateur local (.\Administrateur) et le mot de passe DSRM choisi lors de la promotion (chapitre 2).
3. Restaurer l'état du système : wbadmin get versions pour trouver l'identifiant de version, puis wbadmin start systemstaterecovery -version:11/01/2026-21:00 -quiet (l'identifiant est au format américain mois/jour/année : ici le 1er novembre 2026 à 21 h).
4. Pour une restauration autoritaire, avant de redémarrer, marquer les objets avec ntdsutil :
   textCopier le code de la section Restaurer l'annuaire depuis une sauvegarde

   ntdsutil
   activate instance ntds
   authoritative restore
   restore subtree "OU=Comptabilite,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"
   quit
   quit
   

5. Revenir au démarrage normal : bcdedit /deletevalue safeboot, puis redémarrer.

ntdsutil augmente le numéro de version des objets marqués, pour qu'ils gagnent sur les versions des autres contrôleurs lors de la réplication. Si tous les contrôleurs de la forêt sont perdus (un rançongiciel qui a tout chiffré, par exemple), on parle de récupération de forêt : une procédure longue, documentée par Microsoft, qui part de la sauvegarde d'un contrôleur par domaine. C'est pour ce jour-là qu'il faut une sauvegarde hors ligne.

Sauvegarder le DHCP et les autres rôles

# DHCP : sauvegarde de la base (utilisable par Restore-DhcpServer)
Backup-DhcpServer -ComputerName "srv-ad" -Path "D:\Sauvegardes\DHCP"

# DHCP : export lisible de la configuration et des baux, à importer sur un autre serveur
Export-DhcpServer -ComputerName "srv-ad" -File "D:\Sauvegardes\dhcp-srv-ad.xml" -Leases

# GPO : toutes les GPO du domaine
Backup-GPO -All -Path "D:\Sauvegardes\GPO"

Le serveur DHCP fait aussi seul une sauvegarde de sa base toutes les 60 minutes, dans C:\Windows\System32\dhcp\backup. Les zones DNS intégrées à l'annuaire sont sauvegardées avec l'état du système des contrôleurs. Pense enfin à la documentation : plan d'adressage, liste des rôles et de leur configuration, mots de passe DSRM dans le coffre de l'équipe. Une sauvegarde sans procédure de restauration écrite et testée ne sert pas le jour de la crise.

Sauvegardes et rançongiciels

Les rançongiciels cherchent à détruire les sauvegardes avant de chiffrer : ils suppriment les clichés instantanés, chiffrent les partages réseau de sauvegarde, effacent les disques de sauvegarde connectés. Une sauvegarde accessible avec un compte d'administrateur du domaine depuis le réseau de production sera chiffrée avec le reste. Les mesures :

• au moins une copie hors ligne (disque débranché, bande) ou immuable (stockage qui interdit toute modification pendant la durée de rétention) ;
• des comptes de sauvegarde dédiés, différents des comptes d'administration du domaine, et un serveur de sauvegarde isolé, administré à part ;
• des tests de restauration réguliers, chronométrés : la durée réelle de restauration doit respecter la durée maximale d'interruption admissible fixée par la direction.

La réaction à une attaque par rançongiciel est détaillée dans le chapitre Rançongiciel du cours Réponse à incident.

Exercices