3 Veeam Backup & Replication 13.1 est désormais disponible, avec des améliorations portant sur la protection des identités, la prise en charge des hyperviseurs, la détection des malwares, l’infrastructure de sauvegarde et l’automatisation opérationnelle. La restauration automatisée de forêts Active Directory et l’élargissement de la gamme d’hyperviseurs retiendront l’essentiel de l’attention, à juste titre. Les changements les plus déterminants pour les équipes stockage se situent toutefois au niveau du référentiel, et ils vont tous dans le même sens. Veeam 13.1 considère le référentiel de sauvegarde comme un élément sur lequel on opère pendant une restauration, et non plus simplement comme l’endroit où atterrissent les sauvegardes. Cette distinction compte, car la plupart des architectures de sauvegarde sont encore conçues autour du chemin d’écriture. Les jobs se terminent, l’immuabilité est configurée, la capacité est surveillée. La suite — qui peut accéder aux données, depuis où, et si quelqu’un a prouvé qu’elles se restaurent — dépend généralement du même serveur de sauvegarde que celui qui a créé les sauvegardes. Plusieurs des changements apportés au référentiel dans la version 13.1 visent à rompre cette dépendance. L’accès en lecture seule au référentiel est le changement qui compte Un second serveur Veeam Backup & Replication, par exemple situé sur un site de reprise après sinistre, peut désormais se connecter à un référentiel de stockage objet immuable déjà géré par le serveur de sauvegarde de production. Le second serveur ne peut ni écrire ni modifier les données stockées. Il peut utiliser le référentiel pour des restaurations, des vérifications de restaurabilité et des analyses forensiques ou anti-ransomware basées sur la Data Integration API, sans en prendre possession ni perturber les jobs de sauvegarde en cours. Auparavant, accéder au référentiel depuis un autre serveur de sauvegarde pouvait nécessiter un transfert de propriété du référentiel. Cela imposait une coordination et rendait les tests réguliers plus difficiles, en particulier lorsque l’environnement de production devait rester disponible. En pratique, les tests de restauration depuis un serveur distinct étaient quelque chose que les équipes avaient l’intention de faire plutôt que quelque chose qu’elles faisaient. L’accès en lecture seule offre une séparation plus nette entre les opérations de sauvegarde de production et les activités de restauration. Une organisation peut maintenir un serveur Veeam secondaire ayant accès à un référentiel immuable et l’utiliser pour : Tester des restaurations sans modifier le référentiel de production Examiner les données de sauvegarde après une activité suspecte Valider des points de restauration depuis un environnement d’administration distinct Restaurer des données si le serveur Veeam principal devient indisponible C’est ce dernier point qui mérite qu’on s’y attarde. Un serveur de sauvegarde compromis ou indisponible a longtemps constitué un problème de restauration en soi, car le chemin vers les données passait par lui. L’accès en lecture seule fait d’un environnement d’administration de secours une configuration prise en charge plutôt qu’un contournement. Il convient d’être précis sur ce que fait et ne fait pas cette fonctionnalité. L’option s’applique aux référentiels de stockage objet immuables, et l’accès en lecture seule est sélectionné lors de la connexion du référentiel sur le second serveur. Les recommandations de Veeam ajoutent un détail important : les identifiants utilisés pour ajouter le référentiel doivent eux-mêmes disposer d’autorisations en lecture seule, car des identifiants à accès complet peuvent entraîner un comportement imprévisible. Le mode lecture seule limite ce que fera le serveur Veeam secondaire. Il n’isole pas le réseau de stockage sous-jacent et ne remplace pas des identifiants séparés, la segmentation réseau et des procédures d’accès documentées. Les extents de stockage objet suppriment le plafond des données non structurées Le stockage objet peut désormais être utilisé comme extent au sein des référentiels de sauvegarde scale-out employés pour la sauvegarde des données non structurées. La capacité peut être ajoutée progressivement sur des déploiements de stockage objet sur site ou dans le cloud, sans refonte du référentiel ni interruption des jobs existants. C’est important, car les données non structurées croissent rarement de façon prévisible. Les partages de fichiers, les référentiels vidéo, les données de recherche, les fichiers d’ingénierie et le contenu généré par les applications peuvent rapidement dépasser une cible de sauvegarde de taille fixe. Un référentiel scale-out permet d’étendre la capacité de stockage au rythme des données protégées tout en conservant la gestion des sauvegardes dans Veeam — ce qui signifie qu’une décision de capacité n’impose plus une refonte du référentiel. Plusieurs améliorations connexes rendent la protection de vastes parcs de fichiers moins coûteuse : La conservation Grandfather-Father-Son (GFS) peut être configurée directement dans les jobs de sauvegarde NAS et de stockage objet, avec des points de restauration hebdomadaires, mensuels et annuels qui référencent les données de sauvegarde existantes au lieu de nécessiter des copies complètes supplémentaires. Les fichiers de plus de 32 Mo peuvent être traités de manière incrémentielle : Veeam ne transfère que les parties modifiées au lieu de relire tout le fichier. Les modifications des listes de contrôle d’accès (ACL) peuvent être capturées lors des sauvegardes incrémentielles et réappliquées lors de la restauration. Un parallélisme supplémentaire côté source améliore le débit lors de la protection de grands partages de fichiers individuels. Le stockage objet supprime de nombreuses limites de capacité fixe, mais il ne dispense pas de dimensionner en fonction du débit d’ingestion, de la durée de conservation et du débit de restauration. La bande passante réseau, les ressources des passerelles et les performances des nœuds de stockage sous-jacents déterminent toujours la vitesse à laquelle les données peuvent être protégées et restaurées. Savoir ce que contient réellement le référentiel La consommation du stockage objet était difficile à estimer à partir des seules tailles logiques de sauvegarde. La réutilisation de blocs et d’autres optimisations font que le chiffre affiché pour une chaîne de sauvegarde peut différer sensiblement de la capacité physique occupée. Veeam 13.1 affiche désormais les deux : « Backup size » pour la taille logique et « Actual size » pour la capacité consommée après optimisations, soit pour un niveau de référentiel spécifique, soit pour l’ensemble des niveaux à la fois. C’est un petit changement à la valeur disproportionnée pour quiconque exploite un stockage hiérarchisé ou scale-out, car les décisions d’extension peuvent enfin reposer sur une utilisation mesurée plutôt que sur des estimations dérivées de la capacité protégée. Il améliore aussi le dialogue entre les équipes sauvegarde, infrastructure et finance : les administrateurs de sauvegarde peuvent montrer ce qui consomme la capacité physique, et les administrateurs de stockage peuvent planifier l’extension avant que le référentiel n’approche de ses limites opérationnelles. Détection, immuabilité et tests remplissent des rôles différents Les données non structurées représentent une grande part des informations précieuses de la plupart des organisations et sont difficiles à surveiller lors d’un incident de ransomware. Les attaquants peuvent chiffrer, renommer ou supprimer des fichiers sur de vastes partages sans être remarqués jusqu’à ce que les utilisateurs commencent à signaler des données inaccessibles. Veeam 13.1 étend la détection des malwares aux charges de travail de données non structurées. L’analytique au niveau des fichiers peut identifier des schémas suspects comme des renommages ou suppressions massifs, tandis que l’analyse des indicateurs de compromission (IoC) fournit un autre signal d’activité potentiellement malveillante. Veeam Threat Hunter prend désormais aussi en charge les sauvegardes de partages de fichiers et de stockage objet, avec des analyses automatisées après sauvegarde ou des inspections à la demande utilisant la détection par signatures et des règles YARA personnalisables. Ces deux capacités nécessitent l’édition Advanced de la Veeam Universal License : les licences doivent donc faire partie de la planification de la mise à niveau. Combiné au travail sur le référentiel en lecture seule, cela produit une répartition claire des responsabilités : Veeam surveille l’activité de sauvegarde, analyse les données et aide à identifier les points de restauration appropriés. Le stockage objet immuable empêche la modification ou la suppression des objets de sauvegarde protégés pendant leur période de conservation. Un serveur Veeam secondaire peut accéder au référentiel en lecture seule pour enquêter et prouver que la restauration fonctionne. Aucun de ces éléments ne détermine à lui seul si une organisation se remet d’un ransomware. La détection explique ce qui s’est passé, l’immuabilité préserve des points de restauration exploitables et les tests confirment que ces points se restaurent dans le délai requis. Si les changements apportés au référentiel dans la version 13.1 sont intéressants ensemble, c’est parce qu’ils permettent à chacun de ces trois rôles d’être assuré par une partie différente de l’architecture. Plus de flexibilité de conservation, avec un revers Une nouvelle politique Copy pour l’Archive Tier du référentiel de sauvegarde scale-out permet de copier vers l’archive les points de restauration GFS éligibles dès leur création, tandis que la version locale reste sur le Performance Tier jusqu’à son expiration normale. Les politiques Copy et Move peuvent être combinées, afin de conserver les points de restauration récents sur un stockage plus rapide tout en gardant une autre copie sur un stockage d’archivage moins coûteux. Une contrainte mérite d’être vérifiée avant de bâtir une conception autour : la politique Copy s’applique uniquement aux configurations Direct Archival, c’est-à-dire un Performance Tier et un Archive Tier. Les configurations comportant un Capacity Tier entre les deux ne prennent pas en charge le mode Copy. Les référentiels d’archive peuvent aussi être configurés avec une période d’immuabilité minimale — un nombre fixe de jours pendant lesquels les données ne peuvent être ni supprimées ni modifiées — au lieu de rester immuables pendant toute la période de conservation. C’est réellement utile pour maîtriser les coûts d’archivage, et c’est la seule nouvelle option de cette version qui peut discrètement affaiblir une capacité de restauration. Une fenêtre d’immuabilité courte protège la période qui suit immédiatement l’écriture d’une sauvegarde, mais elle expose aussi les points de restauration plus anciens à la suppression alors qu’ils peuvent encore être nécessaires sur le plan opérationnel ou juridique. Cette fenêtre doit être définie en fonction du temps qu’une compromission met généralement à être découverte, du nombre de points de restauration historiques sains dont l’organisation a besoin et des exigences réglementaires — et non de la capacité que vous aimeriez récupérer. Les options d’archivage direct s’appliquent aux services de classe archive pris en charge, comme Veeam Data Cloud Vault Archive, Azure Archive et Amazon S3 Glacier, et non à tous les référentiels compatibles S3. Une plateforme de stockage objet sur site peut donc rester la couche de restauration immuable principale, tandis qu’un service d’archivage distinct conserve plus longtemps les données rarement consultées. Deux changements plus modestes à noter Veeam 13.1 ajoute le mode Gateway pour la sauvegarde des agents IBM AIX et Oracle Solaris vers un stockage objet compatible S3 : le trafic de sauvegarde et de restauration passe par un serveur passerelle désigné dans Veeam, au lieu d’exiger que chaque point de terminaison protégé atteigne directement le système de stockage objet. Pour les nombreuses entreprises qui exploitent encore des systèmes Unix critiques sur des segments réseau isolés, cela lève un véritable obstacle au déploiement. La passerelle fait toutefois partie du chemin des données : elle doit donc être dimensionnée pour le débit qu’elle transporte désormais. Cette version élargit aussi considérablement la prise en charge des hyperviseurs, en ajoutant nativement Citrix XenServer, XCP-ng et Sangfor aSV, tandis que Platform9 et VergeOS rejoignent la liste via la Universal Hypervisor API. La conséquence pour le référentiel passe facilement inaperçue : à mesure que davantage de plateformes convergent vers la même infrastructure de sauvegarde, un référentiel conçu autour d’un seul hyperviseur devient une contrainte sur les plateformes que vous pouvez adopter. Le stockage objet compatible S3 dissocie les deux, de sorte que les décisions de virtualisation et de stockage cessent d’être une seule et même décision. Ce que Veeam 13.1 signifie pour Scality ARTESCA Scality ARTESCA fournit un référentiel compatible S3 sur site conçu pour la sauvegarde et la cyber-résilience. ARTESCA figure dans le programme Veeam Ready en tant que Veeam Ready Repository – Primary Target (en anglais) pour Veeam Backup & Replication 13, avec des attributs validés incluant l’immuabilité des objets, IAM et STS, la prise en charge de la Smart Object Storage API et le mode gouvernance. Trois des changements de la version 13.1 correspondent directement à la façon dont ARTESCA est déployé. Le mode référentiel en lecture seule permet les tests de restauration et les investigations depuis un serveur Veeam secondaire, tandis que le référentiel immuable reste sous la gestion de la production. Les extents de stockage objet permettent aux référentiels de données non structurées de Veeam de s’étendre horizontalement à mesure que la capacité protégée augmente. Enfin, l’utilisation par ARTESCA de S3 Object Lock pour préserver les objets de sauvegarde pendant leur période de conservation constitue la partie stockage de la répartition des responsabilités décrite plus haut — Veeam analyse et orchestre, la plateforme de stockage applique. Scality propose aussi l’ARTESCA+ Veeam Unified Software Appliance (en anglais), qui associe Veeam Backup & Replication au stockage objet ARTESCA. Elle est référencée Veeam Ready pour Veeam Backup & Replication 13 et peut être déployée comme système de sauvegarde principal ou comme référentiel secondaire avec une instance Veeam de secours — une configuration que le référentiel en lecture seule rend plus utile qu’auparavant. Comme pour toute mise à jour de plateforme, la build exacte de Veeam, la version d’ARTESCA et l’architecture prévue doivent être validées à l’aide des informations de compatibilité actuelles avant toute mise à niveau des systèmes de production. Construire une couche de restauration plus exploitable Les changements liés au stockage objet dans Veeam 13.1 sont significatifs, car ils portent sur ce qui se passe après l’écriture des données de sauvegarde. L’accès en lecture seule permet des opérations de restauration en dehors du serveur de sauvegarde de production. L’analyse anti-malware fournit des éléments sur l’intégrité des données non structurées. Les extents de stockage objet absorbent la croissance, et le reporting de la taille réelle fait de la planification de capacité une mesure plutôt qu’une estimation. Rien de tout cela n’arrive avec la simple mise à niveau. Une organisation qui installe la version 13.1 sans rien changer d’autre conserve la même architecture de restauration qu’avant, avec davantage d’options disponibles. Le travail consiste à décider lesquelles de ces options ont leur place dans la conception : un second serveur doit-il disposer d’un accès en lecture seule, la fenêtre d’immuabilité résiste-t-elle à des délais de découverte réalistes, et quelqu’un a-t-il effectué une restauration à l’échelle de la production assez récemment pour que la réponse ait un sens ? L’objectif ne change pas. Préserver des points de restauration sains, y garder l’accès pendant un incident et prouver que l’environnement peut restaurer les données à la vitesse exigée par l’activité. Questions fréquentes Quelles sont les nouveautés de Veeam Backup & Replication 13.1 pour le stockage objet ? L’ajout le plus important est l’accès en lecture seule au stockage objet immuable depuis un second serveur de sauvegarde. Cette version ajoute aussi les extents de stockage objet pour les référentiels de données non structurées, le reporting de la capacité réelle en plus de la taille logique des sauvegardes, une politique Copy pour l’Archive Tier et une période d’immuabilité minimale, le mode Gateway pour les sauvegardes AIX et Solaris, ainsi que la détection des malwares et la prise en charge de Threat Hunter pour les données non structurées. Un second serveur Veeam peut-il accéder à un référentiel de stockage objet immuable ? Oui. Veeam 13.1 permet à un second serveur de sauvegarde d’ajouter un référentiel de stockage objet immuable en mode lecture seule. Le serveur secondaire peut effectuer des restaurations, des vérifications de restaurabilité et les opérations forensiques prises en charge sans modifier les données ni en retirer la propriété au serveur de production. Veeam recommande que les identifiants utilisés disposent eux aussi d’autorisations en lecture seule. Veeam 13.1 améliore-t-il la sauvegarde NAS vers le stockage objet ? Oui. Le stockage objet peut être utilisé comme extent dans les référentiels scale-out pour la sauvegarde des données non structurées. Cette version ajoute aussi la conservation GFS dans les jobs de sauvegarde NAS, le traitement incrémentiel des fichiers de plus de 32 Mo, le suivi des modifications d’ACL, de meilleures performances sur un partage unique et une détection des malwares supplémentaire. Veeam Backup & Replication 13.1 prend-il en charge Scality ARTESCA ? Scality ARTESCA est Veeam Ready pour Veeam Backup & Replication 13 et prend en charge des fonctionnalités de stockage objet validées, dont l’immuabilité, IAM et STS, SOSAPI et le mode gouvernance. La build exacte de Veeam 13.1 et la version d’ARTESCA doivent être confirmées à l’aide des dernières informations de compatibilité avant tout déploiement en production.
