Veeam 13 : concevoir les tâches, la rétention GFS et la vérification SureBackup

Périmètre

Une tâche Veeam fixe quoi sauvegarder, à quelle fréquence, combien de temps et avec quel niveau de cohérence. Pour une PME, trois à six tâches bien découpées valent mieux qu’une tâche unique : elles isolent les échecs et permettent des RPO différents (par exemple, journaux SQL toutes les 15 minutes, serveurs de fichiers une fois par nuit).

Prérequis : l’architecture du guide 1 et au moins un dépôt immuable du guide 2.

Méthode de chaîne

Le forward incremental consomme plus d’espace, mais c’est la méthode qui sollicite le moins le stockage de sauvegarde en I/O, hors jours de synthetic full. Pour le dépôt durci, Veeam recommande XFS pour ses performances et son efficacité en espace (block cloning), ce qui atténue le coût des fulls synthétiques.

Rétention courte et GFS

La rétention courte se définit en jours : par défaut, Veeam garde les points des 7 derniers jours. En version 13, la rétention par nombre de points est obsolète et n’est plus proposée pour les nouvelles tâches ; les tâches créées avant la 13 qui l’utilisent continuent de fonctionner.

La rétention longue GFS (Grandfather-Father-Son) marque certains fulls d’un drapeau hebdomadaire, mensuel ou annuel. Veeam ne crée pas de fichier supplémentaire : il conserve des fulls existants.

• Un full portant un drapeau GFS ne peut plus être supprimé ni modifié, et la rétention courte l’ignore.
• GFS ne s’applique pas aux chaînes reverse incremental.
• Avec forever forward incremental, GFS ne fonctionne que si des fulls sont créés périodiquement (manuellement ou par script).
• Sur un dépôt objet, si aucun active full ne correspond à la politique, Veeam génère un synthetic full et lui attribue le drapeau.

Exemple pour une PME soumise à une conservation comptable : 14 jours de rétention courte, 4 hebdomadaires, 12 mensuels et 7 annuels sur la copie hors site. La durée légale applicable à vos données relève de votre conseil juridique ; Veeam ne fait que l’appliquer.

Traitement applicatif

Par défaut, Veeam produit une sauvegarde cohérente au crash. Pour une cohérence transactionnelle, activez le traitement applicatif (application-aware processing) dans la tâche. Veeam le prend en charge pour Microsoft Active Directory, SQL Server, SharePoint, Exchange, Oracle et PostgreSQL. Sous Windows, il s’appuie sur Microsoft VSS.

Copies de sauvegarde

La documentation Veeam rappelle la règle 3-2-1 et propose la copie de sauvegarde pour l’appliquer : une tâche dédiée recopie les points vers un autre emplacement, sur site ou hors site, au même format que la sauvegarde d’origine, avec sa propre rétention.

• Ciblez un dépôt distinct sur un support distinct (dépôt durci sur site, dépôt objet immuable hors site).
• Vers un dépôt durci, la copie n’est immuable que si la rétention GFS est activée sur la tâche de copie.
• Chiffrez la tâche si la cible est dans le cloud (contrôle de l’analyseur).
• En lecture seule, Get-VBRBackupCopyJob liste les tâches de copie (voir guide 5).

SureBackup

SureBackup teste un point de restauration au lieu de supposer qu’il fonctionne. Deux modes existent :

• Full recoverability testing : les machines démarrent dans un environnement isolé (virtual lab) directement depuis les fichiers de sauvegarde, avec un groupe d’applications (par exemple le contrôleur de domaine et le DNS dont dépend un serveur SQL). Veeam exécute des tests de heartbeat, de ping et applicatifs, puis peut valider les fichiers par contrôle CRC. Un rapport est envoyé par e-mail.
• Backup verification and content scan only : contrôle d’intégrité et analyse de contenu (traces de malware), sans virtual lab ni groupe d’applications.

Si la tâche SureBackup est configurée pour, Veeam analyse aussi les sauvegardes avec un antivirus et une règle YARA avant le démarrage. C’est le « 0 » de 3-2-1-1-0 : planifiez au moins un test complet par mois sur les serveurs critiques, et un contrôle d’intégrité plus fréquent.

Pièges fréquents

• Traitement applicatif oublié sur un contrôleur de domaine : la restauration fonctionne au boot, mais la cohérence AD n’est pas garantie.
• Mode Network sur 1 GbE : Veeam ne le recommande pas ; préférez HotAdd ou Direct storage access.
• Rétention par nombre de points héritée d’une 12.x : comprenez la différence avant de recréer les tâches en 13.
• Immuabilité plus longue que la rétention sur l’objet : surcoût sans bénéfice.
• SureBackup jamais planifié : un test non exécuté ne prouve rien.
• Une seule grosse tâche : un échec bloque tout, et le RPO ne peut pas être différencié.

Vérification

Après chaque modification, contrôlez la dernière session de la tâche. La documentation PowerShell donne la méthode suivante, en lecture seule :

# Read-only: latest session of a backup job (documented example pattern)
$job = Get-VBRJob -Name 'VM-Daily'
Get-VBRBackupSession |
    Where-Object { $_.JobId -eq $job.Id.Guid } |
    Sort-Object EndTime -Descending |
    Select-Object -First 1 CreationTime, EndTime, Result, State

Les propriétés CreationTime, EndTime, JobId, Result et State sont documentées pour l’objet VBRBackupSession ; Result vaut None, Success, Warning ou Failed. Pour un suivi quotidien de toutes les tâches avec seuil de RPO, utilisez le script du guide 5.

Sources

• User Guide v13 : Backup Methods
• User Guide v13 : Short-Term Retention Policy
• User Guide v13 : Long-Term Retention Policy (GFS)
• User Guide v13 : Application-Aware Processing
• User Guide v13 : Microsoft SQL Server log backup
• User Guide v13 : Veeam Explorers Overview
• User Guide v13 : Backup Copy
• User Guide v13 : How SureBackup Works
• User Guide v13 : Transport Modes
• User Guide v13 : Hardened Repository, requirements
• User Guide v13 : Security & Compliance Analyzer
• PowerShell Reference v13 : Get-VBRBackupSession
• PowerShell Reference v13 : VBRBackupSession
• Veeam KB4738 : 13.1.0.411 security fixes