Sauvegarde et restauration d'Active Directory et de LDAP

LDAP et Active Directory sont des solutions d’annuaire qui stockent des informations sur les ordinateurs et les périphériques du réseau, notamment, mais sans s’y limiter, les configurations des utilisateurs et des logiciels. Leur installation et leur mise en œuvre peuvent impliquer la présence de répliques sur divers ordinateurs de l’organisation, situés sur site ou à distance. La sauvegarde d’Active Directory est essentielle à la continuité d’activité d’une organisation au cas où un objet d’annuaire serait supprimé, corrompu ou mal configuré.

Lorsqu’un administrateur supprime par exemple le mauvais compte utilisateur ou corrompt les attributs d’un objet, le préjudice est limité, mais la solution standard ne l’est pas. Un outil de sauvegarde classique ne peut pas accéder à l’intérieur de l’annuaire pour récupérer un seul objet, car il copie l’intégralité du fichier de base de données et le restaure comme une unité monolithique. Par conséquent, il ne vous reste d’autre choix que de restaurer l’annuaire entier à partir de sa dernière copie, ce qui entraîne également la perte de toutes les modifications légitimes effectuées depuis la création de cette copie. Bacula attribue environ 90 % de toutes les pertes de données liées au protocole LDAP à des erreurs humaines et à des défaillances logicielles, ce à quoi la plupart des équipes sont confrontées, par opposition aux sinistres touchant l’intégralité du serveur.

Pour contrer et prévenir ce type d’incidents, Bacula Enterprise utilise le module Directory Server, fourni avec deux plugins. Le plugin LDAP permet de sauvegarder et de restaurer des objets individuels sur n’importe quel annuaire LDAP, notamment OpenLDAP, Novell/SUSE eDirectory et DS389. Le plugin MSAD effectue la même opération pour Active Directory et prend en charge les attributs spécifiques à AD, tels que SID, objectGUID, memberOf et userAccountControl. Grâce aux plugins LDAP et AD de Bacula Enterprise, vous pouvez récupérer l’objet unique qui a été perdu ou altéré, tandis que le reste de l’annuaire continue de fonctionner sans être affecté.

Fonctionnalités de sauvegarde LDAP et AD

• Sauvegarde au niveau des objets – Les plugins LDAP et MSAD sauvegardent chaque objet d’annuaire en tant qu’élément distinct, plutôt que de capturer la base de données d’annuaire sous la forme d’un seul fichier. Chaque objet est stocké sous un espace de noms virtuel dans le catalogue Bacula, préfixé par « ldap: » ou « msad: », l’arborescence des informations d’annuaire étant représentée sous forme de structure d’annuaire.
• Niveaux de sauvegarde – Les deux plugins prennent en charge les niveaux de sauvegarde complète, différentielle et incrémentielle (les tâches différentielles et incrémentielles s’appuient sur l’heure de modification de l’objet enregistrée dans le catalogue au moment de la sauvegarde).
• Mode précis – Les plugins LDAP et MSAD détectent les objets supprimés entre deux sauvegardes en comparant l’annuaire en temps réel au catalogue Bacula.
• Requête de base unique – Chaque sauvegarde exécute une requête de base unique à partir du paramètre BASEDN pour répertorier tous les objets de la sous-arborescence, en utilisant une réponse de contrôle paginée pour récupérer tous les objets disponibles sur le serveur.
• Capture complète des attributs – Les plugins enregistrent tous les attributs standard et étendus renvoyés par le serveur, y compris les attributs système et dynamiques. Les attributs qui ne peuvent pas être restaurés ultérieurement, tels que les attributs en lecture seule, sont tout de même capturés au moment de la sauvegarde.
• Transport chiffré – Le plugin LDAP se connecte à l’annuaire via LDAPS (SSL) lorsqu’il est configuré. Le comportement TLS est contrôlé par les paramètres TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE et TLS_REQCERT dans le fichier de configuration du plugin.

Fonctionnalités de restauration LDAP et AD

• Restauration au niveau des objets – Les objets sont restaurés uniquement sur un serveur LDAP ou MSAD opérationnel. Les plug-ins ne peuvent pas restaurer d’objets sur un système de fichiers local, car les objets d’annuaire stockent leurs données sous forme d’attributs et non en tant que contenu de fichiers.
• Restauration à l’emplacement d’origine – Une restauration effectuée avec le paramètre where=/ replace les objets à leur emplacement d’origine dans l’arborescence du répertoire.
• Restauration avec relocalisation – Une restauration effectuée avec un DN de relocalisation where= place les objets dans une sous-arborescence différente. La relocalisation restaure l’intégralité du chemin d’accès de la sous-arborescence de l’objet, de la même manière que where=/tmp/restores fonctionne pour les fichiers classiques.
• Interface des options de restauration – L’option 13 de l’interface de modification de la restauration expose des variables de plugin qui remplacent la cible de restauration. L’interface accepte des valeurs différentes pour basedn, ldapuri, binddn, mot de passe de liaison et fichier de configuration, ce qui redirige la restauration vers un autre serveur ou un autre utilisateur de liaison.

Fonctionnalités opérationnelles

• Liste des objets dans la console – La commande .ls permet de parcourir les objets LDAP ou MSAD directement depuis la console Bacula, à l’aide des paramètres client, plugin et chemin. Un chemin / affiche le contexte de nommage par défaut du serveur, tandis qu’un chemin correspondant à un DN affiche les objets enfants de ce DN.
• Test de FileSet – La commande d’estimation teste un FileSet avant l’exécution d’une sauvegarde réelle, en affichant les objets que le plugin capturerait sous le BASEDN configuré.
• Configuration flexible – Les paramètres de connexion peuvent être fournis via un fichier de configuration propre à chaque plugin (ldap.conf ou msad.conf), ou directement sur la ligne Plugin= du FileSet. Un fichier de configuration distinct peut être nommé pour chaque FileSet afin de diriger les sauvegardes vers différents serveurs de répertoires.
• Masquage du mot de passe – Le mot de passe de liaison peut être stocké sous une forme masquée à l’aide du paramètre hbindpass. La commande @encode de bconsole génère la valeur masquée, ce qui supprime le mot de passe en clair du fichier de configuration.
• Compte de sauvegarde à privilèges minimaux – Le plugin nécessite un compte d’annuaire disposant des autorisations nécessaires pour interroger et lire des objets. Il peut s’agir d’un compte standard détenant le rôle d’opérateur de sauvegarde plutôt que d’un compte d’administrateur à part entière.

Prise en charge des plateformes et des versions

• Démon de fichiers Linux – Les deux plug-ins s’exécutent sur un démon de fichiers Linux. Le plug-in MSAD effectue la sauvegarde de Microsoft Active Directory via le réseau à partir de cet hôte Linux ; l’installation du plug-in MSAD sur un serveur Windows n’est actuellement pas prise en charge. Cette restriction pourrait évoluer dans une prochaine version.
• Versions d’Active Directory – Le plugin MSAD prend en charge Microsoft Active Directory à partir de Windows Server 2003 et se connecte au serveur AD à l’aide du protocole réseau LDAP.
• Compatibilité avec les serveurs LDAP – Le plugin LDAP fonctionne avec tout annuaire accessible via le protocole LDAP, y compris OpenLDAP, Novell/SUSE eDirectory et DS389. OpenLDAP est le serveur de référence testé ; les annuaires autres qu’OpenLDAP doivent être validés avant toute utilisation en production.
• Version Bacula Enterprise – Les plug-ins LDAP et MSAD s’appliquent à Bacula Enterprise version 10 et ultérieures. Ces plug-ins ne sont pas disponibles pour les versions antérieures de Bacula Enterprise.

Stockage de sauvegarde et maîtrise des coûts

Bacula Enterprise offre aux administrateurs un contrôle direct sur les coûts de stockage grâce à la réduction des données et à un routage flexible vers les destinations.

• Déduplication au niveau des blocs – Tout bloc de données apparaissant plus d’une fois dans le catalogue de sauvegarde n’est écrit qu’une seule fois sur le stockage. L’espace de stockage utilisé diminue sans aucune modification de la politique ou du calendrier de sauvegarde.
• Compression adaptative – Les algorithmes de compression sont configurables pour chaque tâche. Les administrateurs ajustent la compression en fonction du type de données et des ressources disponibles.
• Plusieurs types de cibles de stockage – Les sauvegardes sont écrites sur un disque local, un NAS, un SAN, des bibliothèques de bandes, un stockage objet dans le cloud (notamment S3, Azure et Google Cloud), ou toute combinaison de ces options au sein d’une même politique.
• Stockage objet compatible S3 – Bacula se connecte à n’importe quel fournisseur compatible S3 pour une conservation à long terme sans dépendance vis-à-vis d’un fournisseur.
• Workflows de stockage à plusieurs niveaux – Les données de sauvegarde peuvent être configurées pour être déplacées automatiquement d’un niveau de stockage à l’autre au fur et à mesure de leur vieillissement. Les points de restauration fréquemment consultés restent sur un stockage rapide, tandis que les données plus anciennes sont transférées vers des destinations moins coûteuses.
• Incrémentiel à vie – Après une première sauvegarde complète, chaque tâche suivante ne capture que les modifications. Les fenêtres de sauvegarde complète récurrentes ne sont plus nécessaires.
• Transferts optimisés en termes de bande passante – Seules les données modifiées transitent par le réseau entre deux exécutions de sauvegarde. La charge du réseau de production reste faible, sans limitation manuelle ni contournements de planification.

Sécurité et conformité des sauvegardes

La sécurité et la conformité réglementaire sont intégrées à chaque couche de la plateforme, du chiffrement du transport et du stockage des données au contrôle d’accès et à la journalisation des audits.

• Chiffrement AES-256 – Le chiffrement AES-256 couvre l’intégralité du chemin des données, du client source à la destination de stockage finale. La gestion des clés est configurable pour s’adapter aux politiques de sécurité de l’organisation.
• Copies de sauvegarde immuables – Le stockage compatible WORM verrouille les données de sauvegarde afin d’empêcher toute modification ou suppression une fois celles-ci écrites. Les ransomwares et les menaces internes n’ont aucun accès au point de restauration.
• Contrôles d’accès granulaires – Les autorisations des utilisateurs s’appliquent à des tâches spécifiques, à des workflows de restauration et à des fonctions de gestion. Chaque administrateur n’accède qu’aux éléments requis par son rôle.
• Audit complet des activités – Chaque sauvegarde, restauration et modification de configuration est consignée avec l’identité de l’utilisateur et un horodatage. Les équipes chargées de la conformité et de la sécurité disposent ainsi d’une piste d’audit complète et ininterrompue.
• Prise en charge du cadre réglementaire – Les contrôles de la plateforme répondent aux exigences du RGPD, de la loi HIPAA et de la norme SOC 2 grâce au chiffrement, à des politiques de conservation configurables et à des journaux d’audit détaillés.
• Architectures préservant la confidentialité – Des options de déploiement en « zéro connaissance » permettent à l’infrastructure de sauvegarde de fonctionner sans accorder aux administrateurs aucune visibilité sur les données protégées.

Gestion et administration des sauvegardes

Deux interfaces complémentaires et une suite complète d’outils de gestion offrent une visibilité et un contrôle sur l’ensemble des opérations de sauvegarde.

• Double interface – BWeb fournit une console graphique pour la gestion et la surveillance quotidiennes des tâches. Bconsole (agent utilisateur) offre aux opérateurs un contrôle total via la ligne de commande pour la création de scripts, l’automatisation et la configuration avancée.
• Évolutivité sans limites – La même architecture de plateforme gère aussi bien des environnements composés de quelques serveurs que des déploiements comptant plusieurs milliers de serveurs, le tout sous un seul plan de gestion.
• Découverte automatique des ressources – La plateforme analyse l’infrastructure afin d’identifier et de répertorier automatiquement les cibles de sauvegarde. La couverture de protection reste à jour à mesure que l’environnement s’étend.
• Rapports détaillés – Des rapports planifiés couvrent les résultats des tâches, les tendances en matière de capacité, l’état de conformité et les performances opérationnelles selon une fréquence définie.
• Intégration de systèmes externes – Bacula se connecte aux outils de surveillance, aux systèmes de tickets informatiques et aux services d’annuaire, notamment LDAP et Active Directory. Aucun développement sur mesure n’est requis.

Couverture de sauvegarde multi-environnements

Les serveurs physiques, les machines virtuelles, les conteneurs et l’infrastructure cloud s’inscrivent tous dans une stratégie de sauvegarde unique et unifiée.

• Virtualisation multi-plateforme – Intégration native pour VMware vSphere, Hyper-V, KVM, Red Hat Virtualization, Xen, Azure VM, Proxmox et Nutanix AHV, avec une application cohérente des politiques sur toutes les plateformes.
• Convergence physique et virtuelle – Les serveurs physiques, les postes de travail et les machines virtuelles sont protégés via la même interface de gestion, avec des politiques de sauvegarde unifiées.
• Prise en charge des conteneurs et des environnements cloud natifs – Protection complète des environnements Docker, Kubernetes, et OpenShift, avec des sauvegardes de volumes persistants et des instantanés cohérents au niveau des applications.
• Intégration du stockage multicloud – Prise en charge native du stockage dans les clouds publics, privés et hybrides, y compris les interfaces S3, S3-IA, Azure, Google Cloud, Oracle Cloud et Glacier, avec la fonctionnalité « Minimal Restore Cost » (MRC)
• Intégration des bases de données et des applications – Prise en charge de la sauvegarde à chaud pour Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA et d’autres applications critiques, avec une cohérence transactionnelle totale.

Licences de sauvegarde prévisibles

Les licences sont calculées en fonction de la taille de l’environnement, et non du volume de données. Les annuaires LDAP et Active Directory peuvent s’étendre sans entraîner d’augmentation des coûts de licence.

• Licences indépendantes du volume – L’augmentation de la capacité de sauvegarde n’entraîne pas de hausse des frais de licence. Les coûts liés à la protection des données restent stables malgré l’augmentation des volumes de données.
• Structure de coûts prévisible – Un modèle de tarification fixe permet aux équipes de planifier les budgets d’infrastructure sans avoir à tenir compte des coûts variables liés à la croissance du stockage ou aux changements de charge de travail.
• Tarification indépendante de la charge de travail – La taille des bases de données, le nombre de serveurs et les volumes de stockage n’ont aucune incidence sur les coûts de licence.
• Avantages financiers à grande échelle – Les organisations qui protègent des environnements LDAP et Active Directory de grande taille ou en forte croissance paient les mêmes frais de licence, quelle que soit la quantité de données ajoutées. L’avantage financier par rapport aux concurrents pratiquant une tarification en fonction de la capacité s’accroît à mesure que les volumes de données augmentent.

Récupération et continuité d’activité

Chaque scénario de récupération suit un parcours défini, de la restauration d’un seul fichier à la reconstruction complète d’un site.

• Restauration « bare metal » au niveau du système – Bacula Enterprise restaure un serveur complet à partir de zéro, y compris le système d’exploitation, les applications, la configuration et les données, sans nécessiter d’installation manuelle préalable.
• Transfert de données multiplateforme – Les données sauvegardées peuvent être restaurées sur un système d’exploitation différent de celui d’origine. Les équipes disposent de plusieurs options lorsque du matériel identique n’est pas disponible ou qu’une migration est en cours.
• Réplication géographique des sauvegardes – Les jeux de sauvegarde sont copiés vers des sites de stockage géographiquement distants. Une panne à l’échelle d’un site n’entraîne pas la perte des points de restauration.
• Planification de sauvegardes fréquentes – La fenêtre de perte potentielle de données est réduite à quelques minutes.
• Validation automatisée de la restauration – La restaurabilité est confirmée par des tests automatisés, sans intervention de l’administrateur ni processus de validation distinct.