Veeam sur VMware — Sauvegardes & Restauration (RGPD, sans S3)

1) Contexte & objectifs 🎯

vSphere (vCenter + ESXi) hébergeant des VMs Windows (AD, SQL, File Services) et Linux (Zabbix, Nginx, Ansible). Objectifs : protection contre ransomware, erreur humaine, panne matérielle ; respect des RPO/RTO et du RGPD/CNIL.

RPO : 24h (4h pour applicatifs critiques si nécessaire).
RTO : < 4h services clés, < 24h pour le reste.

2) Architecture cible 🧩

Veeam Backup & Replication (VBR) sur Windows, même LAN, hors domaine AD.
Pas de proxy dédié : le serveur VBR assure lui-même le rôle de proxy.
Transport : NBD (réseau) par défaut ; Hot-Add possible si VBR est une VM éligible.
Stockage principal : disque local sur VBR, sauvegardes chiffrées.
Backup Copy : NAS/site 2 pour copie hors site (NFS/SMB ou repo Veeam distant).
Option : externalisation vers une repo en France (hébergeur FR) selon contraintes.

Règle 3-2-1-0 (base) + option air-gap

3 copies (prod + VBR local + NAS/site 2)
2 supports (disque local + NAS)
1 hors site (NAS/site 2 ou repo FR)
0 erreur dans les logs
Option : air-gap (disques externes / repo FR avec politiques durcies)

3) Intégration Veeam (VMware) ⚙️

a) Découverte & inventaire

Ajout de vCenter dans VBR (découverte des VMs/dossiers).
Tagging par rôles : Infra (AD/DNS), SQL, Fichiers, App, Linux.

b) Transport (sans proxy dédié)

Le serveur VBR agit comme proxy intégré.
NBD (réseau) utilisé par défaut (simple et fiable sur même LAN).
Hot-Add possible si VBR est une VM sur l’infra VMware avec accès adéquat.
Limiter la concurrence si nécessaire (throttling) pour ne pas saturer le LAN.

c) Dépôts & cibles

Local (VBR) : disque interne, chiffrement AES‑256 activé pour tous les jobs.
NAS/site 2 : cible des Backup Copy Jobs pour copie hors site.
Option : dépôt externalisé en France (prestataire FR) selon politique.

d) Sécurité

Chiffrement AES‑256 des sauvegardes, MFA, rotation des secrets.
Comptes séparés (VBR / NAS), principe du moindre privilège.
VBR hors domaine : surface réduite (pas d’objets AD à compromettre), comptes locaux dédiés et MFA.

4) Politique de rétention (RGPD / CNIL) 🛡️

Sauvegardes = finalité sécurité/continuité (RGPD art. 32). Durées limitées ; l’archivage légal est distinct et ciblé.

Opérationnel (toutes VMs) — local + NAS

GFS : Daily 30 j, Monthly 12
Chiffrement systématique des sauvegardes
Séparation des comptes

Chiffrement AES‑256 Backup Copy

Archivage légal (datasets ciblés) — via Backup Copy

Backup Copy → dépôt séparé (NAS/site 2 ou repo FR)
GFS : Monthly 12, Yearly 10
Séparation des comptes / accès minimaux

Compta/Fiscalité Hors site

Droit à l’effacement : si une restauration réintroduit une donnée supprimée, la suppression est rejouée avant remise en prod (journal des suppressions + script post-restore).

5) Jobs & notifications 🔔

Jobs dédiés : SQL (application-aware, truncation logs), Fichiers (CBT), AD/DC, Linux.
Alerting mail/Teams ; rapport quotidien : succès/échecs, durée, débit, déduplication.

Exemple GFS (opérationnel)

Daily : 30 j
Monthly : 12

# Export chiffré de la conf VBR (avant changement)
$path = "D:\Exports\VBR-Config-$(Get-Date -f yyyyMMdd-HHmm).bco"
$pwd  = Read-Host -AsSecureString "Mot de passe pour l'export"
Backup-VBRServerConfiguration -Path $path -Password $pwd

6) Tests de restauration 🧪

Types

Instant VM Recovery (relance immédiate depuis dépôt local).
File-Level Restore (granulaire).
Application items (AD/SQL).

SureBackup (automatisé)

Virtual Lab isolé + Application Group (DC, SQL, app).
Vérifs : boot, services, pings/ports, scripts custom → rapport.

Runbook trimestriel (extrait)

Instant VM Recovery d’une VM critique dans un lab isolé.
Validation AD + intégrité SQL (requêtes de contrôle).
FLR d’un dossier sensible + comparaison hash.
Consigner RTO/RPO mesurés + actions correctives.

Vérification	KO → Action	Preuve
Boot & services OK	Ordre de démarrage / dépendances	Rapport SureBackup
SQL OK (requêtes)	Restauration DB / logs	Script + capture
RTO ≤ objectif	Optimiser transport (NBD/Hot-Add)	Chrono + logs
RPO ≤ objectif	Augmenter fréquence	Horodatage point

7) Conformité & sécurité 🔐

Journal des suppressions (IDs) pour rejouer après restore (RGPD art. 17).
Séparation des comptes (VBR / NAS) et MFA.
Traçabilité : logs jobs, export conf régulier, procédures PRA.

# (concept) Post-restore : rejouer les suppressions RGPD connues
$deletedIds = Get-Content "\\secure-share\gdpr\deleted_ids.csv"
foreach ($id in $deletedIds) {
  Invoke-Sqlcmd -ServerInstance "SQLREST\INST" -Database "AppDB" `
    -Query "DELETE FROM Users WHERE UserId = '$id'"
}

8) KPI & amélioration continue 📈

Taux de succès des jobs, durée, débit, déduplication.
RTO/RPO mesurés vs objectifs.
Validité hors site (Backup Copy), rapports SureBackup.