---
title: "Sauvegarde d’Active Directory 2003, 2008, 2012, 2012R2, 2016 et 2019 avec Bacula. Sauvegarde LDAP et OpenLDAP"
published_at: "2021-07-16T10:50:49+00:00"
modified_at: "2026-07-10T08:59:48+00:00"
url: "https://www.baculasystems.com/fr/recuperation-de-sauvegarde-active-directory/"
markdown_url: "https://www.baculasystems.com/fr/recuperation-de-sauvegarde-active-directory.md"
taxonomy_language:
  - "Français"
---

[Bienvenue](https://www.baculasystems.com/fr/)
 > Sauvegarde d’Active Directory 2003, 2008, 2012, 2012R2, 2016 et 2019 avec Bacula. Sauvegarde LDAP et OpenLDAP

# Sauvegarde et restauration d'Active Directory et de LDAP

## Sauvegarde et restauration d'objets LDAP et Active Directory individuels avec Bacula Enterprise

LDAP et Active Directory sont des solutions d’annuaire qui stockent des informations sur les ordinateurs et les périphériques du réseau, notamment, mais sans s’y limiter, les configurations des utilisateurs et des logiciels. Leur installation et leur mise en œuvre peuvent impliquer la présence de répliques sur divers ordinateurs de l’organisation, situés sur site ou à distance. [La sauvegarde d’Active Directory](https://www.baculasystems.com/fr/blog-fr/sauvegarde-active-directory/)
 est essentielle à la continuité d’activité d’une organisation au cas où un objet d’annuaire serait supprimé, corrompu ou mal configuré.

Lorsqu’un administrateur supprime par exemple le mauvais compte utilisateur ou corrompt les attributs d’un objet, le préjudice est limité, mais la solution standard ne l’est pas. Un outil de sauvegarde classique ne peut pas accéder à l’intérieur de l’annuaire pour récupérer un seul objet, car il copie l’intégralité du fichier de base de données et le restaure comme une unité monolithique. Par conséquent, il ne vous reste d’autre choix que de restaurer l’annuaire entier à partir de sa dernière copie, ce qui entraîne également la perte de toutes les modifications légitimes effectuées depuis la création de cette copie. Bacula [attribue](https://www.baculasystems.com/whitepapers/active-directory-ldap-backup/)
 environ 90 % de toutes les pertes de données liées au protocole LDAP à des erreurs humaines et à des défaillances logicielles, ce à quoi la plupart des équipes sont confrontées, par opposition aux sinistres touchant l’intégralité du serveur.

Pour contrer et prévenir ce type d’incidents, Bacula Enterprise utilise le module Directory Server, fourni avec deux plugins. Le plugin LDAP permet de sauvegarder et de restaurer des objets individuels sur n’importe quel annuaire LDAP, notamment OpenLDAP, Novell/SUSE eDirectory et DS389. Le plugin MSAD effectue la même opération pour Active Directory et prend en charge les attributs spécifiques à AD, tels que SID, objectGUID, memberOf et userAccountControl. Grâce aux plugins LDAP et AD de Bacula Enterprise, vous pouvez récupérer l’objet unique qui a été perdu ou altéré, tandis que le reste de l’annuaire continue de fonctionner sans être affecté.

[Télécharger la version d’essai](https://www.baculasystems.com/fr/telecharger-la-version-dessai-de-bacula-enterprise-edition/)
[Whitebook Directory Server / LDAP](/how-to-implement-active-directory-ldap-backup-and-recovery-strategy-the-bacula-systems-whitepaper)

## Principaux avantages des plugins LDAP et AD de Bacula Enterprise

### Récupération d’annuaire LDAP

- **Restauration d’un objet unique** – Récupérez un utilisateur ou une unité organisationnelle supprimé(e) à partir de n’importe quel annuaire LDAP, y compris OpenLDAP, eDirectory et DS389, sans avoir à restaurer l’intégralité de l’annuaire à l’état de la nuit dernière. Le plugin LDAP enregistre chaque objet en tant qu’élément de catalogue distinct, ce qui rend possible la récupération d’un objet unique.
- **Prise en charge des niveaux de sauvegarde** – Le plug-in LDAP exécute des tâches de sauvegarde complètes, différentielles et incrémentielles sur n’importe quel annuaire LDAP, ce qui vous permet d’ajuster votre planning de sauvegarde et votre fenêtre de conservation en fonction du rythme de modification de l’annuaire.
- **Mode « Accurate »** – Si vous supprimez une entrée entre deux sauvegardes planifiées, le mode « Accurate » détecte tout de même cette suppression, car le plug-in LDAP compare l’annuaire en production au catalogue au lieu de se fier aux horodatages.
- **Relocalisation d’objets** – Restaurez un objet récupéré dans une branche de transit telle que `ou=staging` plutôt qu’à son emplacement d’origine en définissant un DN de relocalisation, ce qui vous permet de l’inspecter avant qu’il ne rejoigne l’environnement de production.
- **Contrôle du remplacement** – Quatre modes (« always », « never », « ifnewer » et « ifolder ») déterminent la manière dont le plugin LDAP gère un objet existant lors de la restauration, de sorte qu’une récupération ne remplace jamais accidentellement un objet actif plus récent.

### Récupération Active Directory (MSAD)

- **Récupération des « tombstones »** – Lorsque vous restaurez un objet AD supprimé, le plugin MSAD récupère son « tombstone » afin de restaurer des attributs système tels que le SID et l’objectGUID, que n’aucune autre méthode de restauration ne permet de récupérer.
- **Récupération de l’appartenance à un groupe** – Les appartenances à des groupes sont automatiquement rétablies. Le plug-in MSAD lit l’attribut `memberOf` de l’objet restauré et le réintègre à tous les groupes auxquels il appartenait, ce qui vous évite de devoir recréer manuellement ces appartenances.
- **Rapports sur l’état des comptes** – Les autorisations d’écriture dans userAccountControl sont vérifiées pendant la restauration, et le résultat est consigné dans le journal des tâches. Vous savez immédiatement si un compte restauré nécessite une correction des autorisations.

### Simplicité d’utilisation

- **Objets suivis par le catalogue** – La taille et la date de modification de chaque objet sont enregistrées dans le catalogue Bacula, ce qui permet d’effectuer des sauvegardes incrémentielles et différentielles de l’annuaire.
- **Navigation parmi les objets depuis la console** – Parcourez l’arborescence du répertoire directement dans la console Bacula grâce au mode liste et identifiez précisément l’objet avant de le restaurer.
- **Configuration rapide** – Indiquez à l’un ou l’autre des plugins un répertoire à l’aide de quatre paramètres : l’URI LDAP, le DN de base, le DN de liaison et le mot de passe. La sauvegarde est alors prête à être exécutée.

## Toutes les fonctionnalités des plug-ins LDAP et AD de Bacula Enterprise

Le plug-in MSAD a nécessité une réécriture complète de la logique de requête et du code afin de s’adapter aux champs, aux structures et au schéma Active Directory spécifiques à Microsoft ; c’est pourquoi il existe en tant que sous-module distinct du plug-in LDAP.

### Fonctionnalités de sauvegarde LDAP et AD

- **Sauvegarde au niveau des objets** – Les plugins LDAP et MSAD sauvegardent chaque objet d’annuaire en tant qu’élément distinct, plutôt que de capturer la base de données d’annuaire sous la forme d’un seul fichier. Chaque objet est stocké sous un espace de noms virtuel dans le catalogue Bacula, préfixé par « ldap: » ou « msad: », l’arborescence des informations d’annuaire étant représentée sous forme de structure d’annuaire.
- **Niveaux de sauvegarde** – Les deux plugins prennent en charge les niveaux de sauvegarde complète, différentielle et incrémentielle (les tâches différentielles et incrémentielles s’appuient sur l’heure de modification de l’objet enregistrée dans le catalogue au moment de la sauvegarde).
- **Mode précis** – Les plugins LDAP et MSAD détectent les objets supprimés entre deux sauvegardes en comparant l’annuaire en temps réel au catalogue Bacula.
- **Requête de base unique** – Chaque sauvegarde exécute une requête de base unique à partir du paramètre BASEDN pour répertorier tous les objets de la sous-arborescence, en utilisant une réponse de contrôle paginée pour récupérer tous les objets disponibles sur le serveur.
- **Capture complète des attributs** – Les plugins enregistrent tous les attributs standard et étendus renvoyés par le serveur, y compris les attributs système et dynamiques. Les attributs qui ne peuvent pas être restaurés ultérieurement, tels que les attributs en lecture seule, sont tout de même capturés au moment de la sauvegarde.
- **Transport chiffré** – Le plugin LDAP se connecte à l’annuaire via LDAPS (SSL) lorsqu’il est configuré. Le comportement TLS est contrôlé par les paramètres TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE et TLS_REQCERT dans le fichier de configuration du plugin.

### **Fonctionnalités de restauration LDAP et AD**

- **Restauration au niveau des objets** – Les objets sont restaurés uniquement sur un serveur LDAP ou MSAD opérationnel. Les plug-ins ne peuvent pas restaurer d’objets sur un système de fichiers local, car les objets d’annuaire stockent leurs données sous forme d’attributs et non en tant que contenu de fichiers.
- **Restauration à l’emplacement d’origine** – Une restauration effectuée avec le paramètre *where=/* replace les objets à leur emplacement d’origine dans l’arborescence du répertoire.
- **Restauration avec relocalisation** – Une restauration effectuée avec un DN de relocalisation *where=* place les objets dans une sous-arborescence différente. La relocalisation restaure l’intégralité du chemin d’accès de la sous-arborescence de l’objet, de la même manière que *where=/tmp/restores* fonctionne pour les fichiers classiques.
- **Interface des options de restauration** – L’option 13 de l’interface de modification de la restauration expose des variables de plugin qui remplacent la cible de restauration. L’interface accepte des valeurs différentes pour *basedn*, *ldapuri*, *binddn*, *mot de passe de liaison* et *fichier de configuration*, ce qui redirige la restauration vers un autre serveur ou un autre utilisateur de liaison.

### Fonctionnalités opérationnelles

- **Liste des objets dans la console** – La commande .ls permet de parcourir les objets LDAP ou MSAD directement depuis la console Bacula, à l’aide des paramètres client, plugin et chemin. Un chemin / affiche le contexte de nommage par défaut du serveur, tandis qu’un chemin correspondant à un DN affiche les objets enfants de ce DN.
- **Test de FileSet** – La commande d’estimation teste un FileSet avant l’exécution d’une sauvegarde réelle, en affichant les objets que le plugin capturerait sous le BASEDN configuré.
- **Configuration flexible** – Les paramètres de connexion peuvent être fournis via un fichier de configuration propre à chaque plugin (ldap.conf ou msad.conf), ou directement sur la ligne Plugin= du FileSet. Un fichier de configuration distinct peut être nommé pour chaque FileSet afin de diriger les sauvegardes vers différents serveurs de répertoires.
- **Masquage du mot de passe** – Le mot de passe de liaison peut être stocké sous une forme masquée à l’aide du paramètre *hbindpass*. La commande *@encode* de bconsole génère la valeur masquée, ce qui supprime le mot de passe en clair du fichier de configuration.
- **Compte de sauvegarde à privilèges minimaux** – Le plugin nécessite un compte d’annuaire disposant des autorisations nécessaires pour interroger et lire des objets. Il peut s’agir d’un compte standard détenant le rôle d’opérateur de sauvegarde plutôt que d’un compte d’administrateur à part entière.

### Prise en charge des plateformes et des versions

- **Démon de fichiers Linux** – Les deux plug-ins s’exécutent sur un démon de fichiers Linux. Le plug-in MSAD effectue la sauvegarde de Microsoft Active Directory via le réseau à partir de cet hôte Linux ; l’installation du plug-in MSAD sur un serveur Windows n’est actuellement pas prise en charge. Cette restriction pourrait évoluer dans une prochaine version.
- **Versions d’Active Directory** – Le plugin MSAD prend en charge Microsoft Active Directory à partir de Windows Server 2003 et se connecte au serveur AD à l’aide du protocole réseau LDAP.
- **Compatibilité avec les serveurs LDAP** – Le plugin LDAP fonctionne avec tout annuaire accessible via le protocole LDAP, y compris OpenLDAP, Novell/SUSE eDirectory et DS389. OpenLDAP est le serveur de référence testé ; les annuaires autres qu’OpenLDAP doivent être validés avant toute utilisation en production.
- **Version Bacula Enterprise** – Les plug-ins LDAP et MSAD s’appliquent à Bacula Enterprise version 10 et ultérieures. Ces plug-ins ne sont pas disponibles pour les versions antérieures de Bacula Enterprise.

## Sécurité des sauvegardes LDAP et Active Directory avec Bacula Enterprise

Bacula Enterprise assure la sécurité des environnements de sauvegarde LDAP et Active Directory grâce à un transport chiffré vers le serveur d’annuaire, à des identifiants de connexion masqués, à un accès par des comptes à privilèges minimaux et à une architecture sans agent qui n’installe aucun logiciel sur le contrôleur de domaine lui-même.

- **Transport crypté vers l’annuaire** – Le plugin LDAP se connecte au serveur d’annuaire via LDAPS (SSL), le comportement du transport étant régi par les paramètres TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE et TLS_REQCERT du fichier de configuration du plugin.
- **Protection des identifiants** – Le mot de passe de liaison utilisé pour l’authentification auprès de l’annuaire peut être stocké sous une forme masquée à l’aide du paramètre hbindpass.

- **Compte de sauvegarde à privilèges minimaux** – Les plugins LDAP et MSAD ne nécessitent qu’un compte d’annuaire disposant de droits de lecture et d’interrogation ; un compte standard doté du rôle d’opérateur de sauvegarde suffit. Il n’est pas nécessaire de disposer d’identifiants d’administrateur complets pour les opérations de sauvegarde.
- **Architecture de contrôleur de domaine sans agent** – Le plugin MSAD s’exécute sur un démon de fichiers Linux distinct et se connecte au serveur Active Directory via le réseau à l’aide du protocole LDAP ; rien n’est installé sur le contrôleur de domaine lui-même.

## Fonctionnalités de sauvegarde et de restauration de Bacula Enterprise dans tous les environnements

Les plugins de sauvegarde LDAP et Active Directory de Bacula font partie d’une plateforme de sauvegarde d’entreprise unifiée. Toutes les fonctionnalités énumérées ci-dessous sont disponibles dans toutes les installations de Bacula Enterprise, quels que soient l’environnement ou la charge de travail.

### Stockage de sauvegarde et maîtrise des coûts

Bacula Enterprise offre aux administrateurs un contrôle direct sur les coûts de stockage grâce à la réduction des données et à un routage flexible vers les destinations.

- **Déduplication au niveau des blocs** – Tout bloc de données apparaissant plus d’une fois dans le catalogue de sauvegarde n’est écrit qu’une seule fois sur le stockage. L’espace de stockage utilisé diminue sans aucune modification de la politique ou du calendrier de sauvegarde.
- **Compression adaptative** – Les algorithmes de compression sont configurables pour chaque tâche. Les administrateurs ajustent la compression en fonction du type de données et des ressources disponibles.
- **Plusieurs types de cibles de stockage** – Les sauvegardes sont écrites sur un disque local, un NAS, un SAN, des [bibliothèques de bandes](https://www.baculasystems.com/fr/la-meilleure-solution-de-sauvegarde-sur-bandes/) , un stockage objet dans le cloud (notamment S3, Azure et Google Cloud), ou toute combinaison de ces options au sein d’une même politique.
- **Stockage objet compatible S3** – Bacula se connecte à n’importe quel fournisseur compatible S3 pour une conservation à long terme sans dépendance vis-à-vis d’un fournisseur.
- **Workflows de stockage à plusieurs niveaux** – Les données de sauvegarde peuvent être configurées pour être déplacées automatiquement d’un niveau de stockage à l’autre au fur et à mesure de leur vieillissement. Les points de restauration fréquemment consultés restent sur un stockage rapide, tandis que les données plus anciennes sont transférées vers des destinations moins coûteuses.
- **Incrémentiel à vie** – Après une première sauvegarde complète, chaque tâche suivante ne capture que les modifications. Les fenêtres de sauvegarde complète récurrentes ne sont plus nécessaires.
- **Transferts optimisés en termes de bande passante** – Seules les données modifiées transitent par le réseau entre deux exécutions de sauvegarde. La charge du réseau de production reste faible, sans limitation manuelle ni contournements de planification.

### Sécurité et conformité des sauvegardes

La sécurité et la conformité réglementaire sont intégrées à chaque couche de la plateforme, du chiffrement du transport et du stockage des données au contrôle d’accès et à la journalisation des audits.

- **Chiffrement AES-256** – Le chiffrement AES-256 couvre l’intégralité du chemin des données, du client source à la destination de stockage finale. La gestion des clés est configurable pour s’adapter aux politiques de sécurité de l’organisation.
- **Copies de sauvegarde immuables** – Le stockage compatible WORM verrouille les données de sauvegarde afin d’empêcher toute modification ou suppression une fois celles-ci écrites. [Les ransomwares](https://www.baculasystems.com/fr/blog-fr/sauvegarde-ransomware-proteger-ransomware/) et les menaces internes n’ont aucun accès au point de restauration.
- **Contrôles d’accès granulaires** – Les autorisations des utilisateurs s’appliquent à des tâches spécifiques, à des workflows de restauration et à des fonctions de gestion. Chaque administrateur n’accède qu’aux éléments requis par son rôle.
- **Audit complet des activités** – Chaque sauvegarde, restauration et modification de configuration est consignée avec l’identité de l’utilisateur et un horodatage. Les équipes chargées de la conformité et de la sécurité disposent ainsi d’une piste d’audit complète et ininterrompue.
- **Prise en charge du cadre réglementaire** – Les contrôles de la plateforme répondent aux exigences du RGPD, de la loi HIPAA et de la norme SOC 2 grâce au chiffrement, à des politiques de conservation configurables et à des journaux d’audit détaillés.
- **Architectures préservant la confidentialité** – Des options de déploiement en « zéro connaissance » permettent à l’infrastructure de sauvegarde de fonctionner sans accorder aux administrateurs aucune visibilité sur les données protégées.

### Gestion et administration des sauvegardes

Deux interfaces complémentaires et une suite complète d’outils de gestion offrent une visibilité et un contrôle sur l’ensemble des opérations de sauvegarde.

- **Double interface** – BWeb fournit une console graphique pour la gestion et la surveillance quotidiennes des tâches. **Bconsole (agent utilisateur)** offre aux opérateurs un contrôle total via la ligne de commande pour la création de scripts, l’automatisation et la configuration avancée.
- **Évolutivité sans limites** – La même architecture de plateforme gère aussi bien des environnements composés de quelques serveurs que des déploiements comptant plusieurs milliers de serveurs, le tout sous un seul plan de gestion.
- **Découverte automatique des ressources** – La plateforme analyse l’infrastructure afin d’identifier et de répertorier automatiquement les cibles de sauvegarde. La couverture de protection reste à jour à mesure que l’environnement s’étend.
- **Rapports détaillés** – Des rapports planifiés couvrent les résultats des tâches, les tendances en matière de capacité, l’état de conformité et les performances opérationnelles selon une fréquence définie.
- **Intégration de systèmes externes** – Bacula se connecte aux outils de surveillance, aux systèmes de tickets informatiques et aux services d’annuaire, notamment LDAP et Active Directory. Aucun développement sur mesure n’est requis.

### Couverture de sauvegarde multi-environnements

Les serveurs physiques, les machines virtuelles, les conteneurs et l’infrastructure cloud s’inscrivent tous dans une stratégie de sauvegarde unique et unifiée.

- **Virtualisation multi-plateforme** – Intégration native pour [VMware vSphere](https://www.baculasystems.com/fr/solutions-de-sauvegarde-vmware/) , [Hyper-V](https://www.baculasystems.com/fr/sauvegarde-hyper-v/) , KVM, Red Hat Virtualization, [Xen](https://www.baculasystems.com/fr/logiciel-de-sauvegarde-xenserver/) , Azure VM, Proxmox et Nutanix AHV, avec une application cohérente des politiques sur toutes les plateformes.
- **Convergence physique et virtuelle** – Les serveurs physiques, les postes de travail et les machines virtuelles sont protégés via la même interface de gestion, avec des politiques de sauvegarde unifiées.
- **Prise en charge des conteneurs et des environnements cloud natifs** – Protection complète des environnements [Docker](https://www.baculasystems.com/fr/blog-fr/sauvegarde-docker/) , [Kubernetes](https://www.baculasystems.com/fr/blog-fr/sauvegarde-kubernetes/) , et [OpenShift](https://www.baculasystems.com/fr/sauvegarde-openshift/) , avec des sauvegardes de volumes persistants et des instantanés cohérents au niveau des applications.
- **Intégration du stockage multicloud** – Prise en charge native du stockage dans les clouds publics, privés et hybrides, y compris les interfaces S3, S3-IA, Azure, Google Cloud, Oracle Cloud et Glacier, avec la fonctionnalité « Minimal Restore Cost » (MRC)
- **Intégration des bases de données et des applications** – Prise en charge de la sauvegarde à chaud pour Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA et d’autres applications critiques, avec une cohérence transactionnelle totale.

### Licences de sauvegarde prévisibles

Les licences sont calculées en fonction de la taille de l’environnement, et non du volume de données. Les annuaires LDAP et Active Directory peuvent s’étendre sans entraîner d’augmentation des coûts de licence.

- **Licences indépendantes du volume** – L’augmentation de la capacité de sauvegarde n’entraîne pas de hausse des frais de licence. Les coûts liés à la protection des données restent stables malgré l’augmentation des volumes de données.
- **Structure de coûts prévisible** – Un modèle de tarification fixe permet aux équipes de planifier les budgets d’infrastructure sans avoir à tenir compte des coûts variables liés à la croissance du stockage ou aux changements de charge de travail.
- **Tarification indépendante de la charge de travail** – La taille des bases de données, le nombre de serveurs et les volumes de stockage n’ont aucune incidence sur les coûts de licence.
- **Avantages financiers à grande échelle** – Les organisations qui protègent des environnements LDAP et Active Directory de grande taille ou en forte croissance paient les mêmes frais de licence, quelle que soit la quantité de données ajoutées. L’avantage financier par rapport aux concurrents pratiquant une tarification en fonction de la capacité s’accroît à mesure que les volumes de données augmentent.

### Récupération et continuité d’activité

Chaque scénario de récupération suit un parcours défini, de la restauration d’un seul fichier à la reconstruction complète d’un site.

- **Restauration « bare metal » au niveau du système** – Bacula Enterprise restaure un serveur complet à partir de zéro, y compris le système d’exploitation, les applications, la configuration et les données, sans nécessiter d’installation manuelle préalable.
- **Transfert de données multiplateforme** – Les données sauvegardées peuvent être restaurées sur un système d’exploitation différent de celui d’origine. Les équipes disposent de plusieurs options lorsque du matériel identique n’est pas disponible ou qu’une migration est en cours.
- **Réplication géographique des sauvegardes** – Les jeux de sauvegarde sont copiés vers des sites de stockage géographiquement distants. Une panne à l’échelle d’un site n’entraîne pas la perte des points de restauration.
- **Planification de sauvegardes fréquentes** – La fenêtre de perte potentielle de données est réduite à quelques minutes.
- **Validation automatisée de la restauration** – La restaurabilité est confirmée par des tests automatisés, sans intervention de l’administrateur ni processus de validation distinct.

## Foire aux questions

### Comment le plugin LDAP de Bacula Enterprise permet-il la sauvegarde d’un objet unique et la restauration granulaire ?

Le plugin LDAP exécute une requête de base unique à partir du BASEDN configuré et enregistre chaque objet trouvé en tant qu’élément distinct dans le catalogue Bacula. Chaque objet est stocké sous un espace de noms virtuel préfixé par « ldap: » et représenté sous la forme d’une arborescence de répertoires. Au moment de la restauration, vous parcourez cette arborescence dans la console Bacula, sélectionnez l’objet précis dont vous avez besoin et le restaurez directement dans le répertoire actif sans toucher à quoi que ce soit d’autre.

### Quels sont les paramètres de configuration requis pour connecter le plugin à un serveur d’annuaire ?

Quatre paramètres sont requis : l’URI LDAP (ldapuri), le nom distinctif de l’utilisateur de liaison (binddn), le mot de passe de liaison (bindpass) et le nom distinctif de base (basedn). Ceux-ci peuvent être fournis via un fichier de configuration dédié, ldap.conf pour le plugin LDAP et msad.conf pour le plugin MSAD, ou directement sur la ligne « Plugin= » dans la définition du « Fileset ».

### Comment le mode « Accurate » détecte-t-il les objets LDAP supprimés ?

Le mode « Accurate » compare l’état actuel de l’annuaire à celui du catalogue Bacula au moment de chaque sauvegarde. Lorsqu’un objet figurant dans le catalogue issu d’une tâche précédente n’est plus présent dans l’annuaire actif, le plugin l’enregistre comme supprimé. Cela permet de détecter les suppressions survenant entre deux exécutions de sauvegarde planifiées, que la détection basée sur l’horodatage ne permettrait pas de repérer.

### Quelles options de remplacement sont disponibles lors d’une restauration LDAP ou AD ?

Quatre modes de remplacement sont disponibles à cet effet : « always », « never », « ifnewer » et « ifolder ». Le mode « always » écrase l’objet existant sans condition. Le mode « never » ignore l’objet s’il existe déjà. Le mode « ifnewer » ne restaure l’objet que si la version sauvegardée est plus récente que celle du répertoire actif. Le mode « ifolder » ne restaure l’objet que si la version sauvegardée est plus ancienne. Le mode est sélectionné lors de la commande de restauration dans bconsole et peut être modifié avant l’exécution de la tâche.

### Le plugin LDAP peut-il sauvegarder des annuaires autres que Microsoft Active Directory ?

Oui. Le plugin LDAP fonctionne avec tout serveur d’annuaire utilisant le protocole LDAP, notamment OpenLDAP, Novell/SUSE eDirectory et DS389. Le plugin MSAD est quant à lui spécifique à Microsoft Active Directory. Pour les serveurs d’annuaire autres qu’OpenLDAP, le plugin doit être testé avant toute utilisation en production.

### Pourquoi le plugin MSAD s’exécute-t-il sous Linux lors de la sauvegarde d’un serveur Windows Active Directory ?

Le plugin MSAD s’installe sur un démon de fichiers Linux et se connecte au serveur Active Directory via le réseau à l’aide du protocole LDAP. Rien n’est installé sur le contrôleur de domaine lui-même.

### Comment le plugin MSAD gère-t-il la récupération des tombstones d’Active Directory ?

Lorsque vous restaurez un objet AD supprimé, le plugin MSAD vérifie automatiquement si un tombstone existe pour cet objet. Si c’est le cas, le plug-in récupère l’objet à partir de son « tombstone » et restaure les attributs restants à partir de la sauvegarde. Cela permet de récupérer des attributs système tels que le SID et l’objectGUID, qui ne peuvent pas être récupérés par d’autres méthodes de restauration. La récupération des « tombstones » s’effectue automatiquement et ne peut pas être désactivée.

### Quelles versions d’Active Directory le plug-in MSAD prend-il en charge ?

Le plug-in MSAD prend en charge Microsoft Active Directory à partir de Windows Server 2003, y compris les versions actuelles et futures de Windows Server.

### Est-il possible de restaurer des comptes d’utilisateurs individuels ou des objets de groupe sans effectuer de restauration complète d’Active Directory ?

Oui. Le plugin MSAD enregistre chaque objet AD en tant qu’élément de catalogue distinct. Vous pouvez restaurer un compte d’utilisateur, un groupe ou une unité organisationnelle directement sur le serveur AD en production sans affecter aucun autre objet du répertoire. La restauration complète du répertoire n’est plus nécessaire et n’est pas effectuée.

### Le plugin MSAD peut-il effectuer une restauration sur un serveur Active Directory différent de celui à partir duquel la sauvegarde a été effectuée ?

Oui. L’interface des options de restauration, accessible via l’option 13 de la commande de restauration bconsole, accepte un ldapuri et un binddn différents au moment de la restauration. Cela redirige la restauration vers un autre serveur sans modifier la configuration d’origine du plugin.

### Que se passe-t-il si l’attribut userAccountControl d’un objet AD restauré ne peut pas être écrit ?

Le plug-in MSAD vérifie si l’utilisateur chargé de la restauration dispose des autorisations nécessaires pour écrire l’attribut userAccountControl pendant la tâche de restauration. Lorsque les autorisations sont insuffisantes, l’attribut est restauré avec les indicateurs par défaut, ce qui laisse le compte dans un état désactivé. Le plug-in consigne le résultat dans le journal des tâches afin que l’administrateur sache immédiatement qu’une correction des autorisations est nécessaire.

### Comment les sauvegardes complètes, différentielles et incrémentielles sont-elles gérées dans les environnements Active Directory ?

Le plugin MSAD prend en charge ces trois niveaux de sauvegarde. Une sauvegarde complète capture tous les objets de la sous-arborescence du répertoire à partir du BASEDN configuré. Une tâche incrémentielle capture les objets modifiés depuis la dernière sauvegarde, quel que soit son niveau. Une tâche différentielle capture les objets modifiés depuis la dernière sauvegarde complète. Les dates et heures de modification des objets sont enregistrées dans le catalogue Bacula et utilisées pour déterminer ce que chaque tâche suivante doit capturer.