Code : MO-AD-006 | Version : 1.4 | Date : 26 juin 2026 | Auteur : Cedric LEGRAND
MAJ v1.3 (15/04/2026) : ajout des renvois croisés explicites — vers MO-AD-002 (le backup SystemState est le seul vecteur de rollback authoritative en cas d'échec critique de la rotation
krbtgt, via DSRM) et vers MO-AD-008 §5.5 (mise à jour denas.credaprès rotation NAS). Section « Voir aussi » ajoutée en fin de document.MAJ v1.2 (14/04/2026) : ajout de la section 4.6 sur la gestion du fichier
C:\Backups-AD\nas.cred(credentials NAS externalisés avec ACL restrictive SYSTEM+Administrators) et procédure de mise à jour lors d'une rotation MDP NAS. Voir aussi MO-AD-008 pour la rotation périodique.
¶ 1. Objet
Ce mode opératoire décrit la procédure complète de sauvegarde de l'Active Directory du contrôleur de domaine principal (DC1) via un backup SystemState, et le transfert de cette sauvegarde vers un stockage externe. Le backup SystemState inclut l'ensemble des composants critiques du contrôleur de domaine :
- Base de données Active Directory (
ntds.dit) - Répertoire SYSVOL (stratégies de groupe, scripts d'ouverture de session)
- Registre Windows
- Fichiers de démarrage et partition EFI
- Données des services de certificats
- Base d'enregistrement COM+
Contexte critique : L'infrastructure BTS SIO ne disposait d'aucune sauvegarde de l'Active Directory depuis juin 2022, soit 1 371 jours sans backup au moment de la rédaction de ce document. Cette procédure a été exécutée pour la première fois le 7 avril 2026.
¶ 2. Champ d'application
| Élément | Détail |
|---|---|
| Public concerne | Enseignants de l'équipe BTS SIO, administrateurs infrastructure |
| Système | DC1 - Srv2022 (10.0.112.2), Windows Server 2022 |
| Cible de sauvegarde | NAS Scotty (10.0.112.5) ou tout support de stockage réseau/local |
| Durée estimée | 1 heure (backup ~45 min + copie ~15 min) |
| Taille typique | 10-15 Go |
¶ 3. Prérequis
- Fonctionnalité Windows Server Backup installee sur DC1
- Accès WinRM ou RDP au contrôleur de domaine
- Compte Administrateur du domaine
- Connectivité réseau vers le stockage cible (NAS, partage SMB)
- Pre-checks AD effectués (cf. MO-AD-005 - Sante de l'Active Directory)
- Espace libre suffisant : ~20 Go sur
C:et ~15 Go sur la cible
¶ 4. Procédure
¶ 4.1 Vérifier l'installation de Windows Server Backup
Get-WindowsFeature Windows-Server-Backup
La colonne Install State doit indiquer Installed. Si la fonctionnalité n'est pas installee :
Install-WindowsFeature -Name Windows-Server-Backup
L'installation de Windows Server Backup ne nécessite aucun redémarrage du serveur.
¶ 4.2 Méthode A - Backup via VHD local (recommandé)
DC1 ne dispose que d'un seul volume (C:). Or, wbadmin refuse de sauvegarder le SystemState sur le volume source. La solution retenue consiste à créer un disque virtuel VHD qui se comporte comme un volume séparé.
¶ Créer le disque virtuel (VHD)
Ouvrir une invite de commandes élevée, puis lancer diskpart :
diskpart
Dans la console diskpart, exécuter :
create vdisk file="C:\Backups-AD\backup.vhdx" maximum=20480 type=expandable
select vdisk file="C:\Backups-AD\backup.vhdx"
attach vdisk
¶ Initialiser et formater le VHD
Toujours dans diskpart, sélectionner le nouveau disque (généralement Disk 1) :
select disk 1
convert gpt
create partition primary
format fs=ntfs label="AD-Backup" quick
assign letter=D
exit
Le paramètre
type=expandablecrée un VHD à taille dynamique : le fichier.vhdxn'occupe sur disque que l'espace réellement utilisé par les données.
¶ Lancer le backup SystemState
wbadmin start systemstatebackup -backupTarget:D: -quiet
Le processus se déroule en plusieurs phases :
- Identification des volumes : wbadmin détermine les volumes a inclure
- Création du snapshot VSS : un Volume Shadow Copy est créé pour garantir la cohérence
- Énumération des fichiers : inventaire complet (183 373 fichiers lors de la première exécution)
- Copie des données : transfert vers le volume cible
- Vérification : contrôle d'intégrité de la sauvegarde
Durée totale : environ 45 à 60 minutes pour la première exécution. Les sauvegardes ultérieures seront plus rapides (mécanisme incrémentiel).
¶ Vérifier le backup
wbadmin get versions
Vérifier que le champ Can recover mentionne bien System State.
¶ Démonter le VHD
diskpart
select vdisk file="C:\Backups-AD\backup.vhdx"
detach vdisk
exit
¶ 4.3 Copier le backup vers le NAS
DC1 peut écrire directement sur le NAS Scotty via SMB, à condition d'utiliser des credentials NTLM explicites. Le NAS QNAP (QTS 4.2.6) ne supporte pas Kerberos, et DC1 tente Kerberos par défaut en tant que contrôleur de domaine. L'authentification NTLM forcée contourne cette limitation.
1. Monter le partage NAS avec credentials NTLM :
net use X: "\\10.0.112.5\Partage NAS" /user:admin MOT_DE_PASSE
2. Copier le VHD vers le NAS :
copy C:\Backups-AD\backup.vhdx X:\Backups-AD\backup_systemstate_YYYY-MM-DD.vhdx
3. Libérer le lecteur réseau :
net use X: /delete
Le fichier VHD pèse environ 12-13 Go. Sur le réseau local Gigabit, le transfert prend entre 10 et 15 minutes.
4. Vérifier la copie sur le NAS :
La taille du fichier sur le NAS doit correspondre exactement à celle du fichier source. Première sauvegarde (7 avril 2026) : 13 358 858 240 octets (12,44 Go).
net useavec credentials explicites.
¶ 4.4 Méthode B - Copie via relais Linux (alternative)
Si la méthode directe DC1->NAS échoue (par exemple en cas de changement de configuration du NAS), un poste Linux peut servir de relais :
1. Récupérer le VHD depuis DC1 :
smbclient //10.0.112.2/C$ -U 'BTS\Administrateur%MOT_DE_PASSE'
smb: \> cd Backups-AD
smb: \> get backup.vhdx
2. Envoyer le VHD vers le NAS Scotty :
smbclient "//10.0.112.5/Partage NAS" -U 'admin%MOT_DE_PASSE'
smb: \> put backup.vhdx
¶ 4.5 Automatisation du backup
Un script automatisé est déployé sur DC1 et prend en charge l'ensemble du cycle de sauvegarde. Il est exécuté via une tâche planifiée chaque dimanche à 3h00, sous le compte SYSTEM.
¶ Déroulement du script
- Vérification des prérequis : espace disque suffisant, Windows Server Backup installe
- Montage du VHD via diskpart
- Exécution du backup :
wbadmin start systemstatebackup -backupTarget:D: -quiet - Démontage du VHD après le backup
- Copie vers le NAS avec credentials NTLM explicites
- Rotation : conservation des 3 derniers backups sur le NAS, suppression des plus anciens
¶ Tâche planifiée
| Paramètre | Valeur |
|---|---|
| Declencheur | Dimanche, 3h00 |
| Compte d'exécution | SYSTEM |
| Fréquence | Hebdomadaire |
| Rétention NAS | 3 derniers backups |
C:) ne protège pas contre une défaillance du disque. La copie systématique vers le NAS est essentielle pour assurer la protection des sauvegardes.
¶ 5. Checklist de vérification
- Windows Server Backup est installe
- Le VHD est créé et monté en
D: -
wbadmin get versionsaffiche au moins une sauvegarde récente - Le champ
Can recovermentionne System State - Le VHD a été copié sur le NAS (taille identique au fichier source)
- Le VHD a été démonté proprement après la copie
- Espace suffisant restant sur
C:et sur la cible de stockage - La tâche planifiée est active et configurée (dimanche 3h00)
¶ 6. Mise a jour : Résolution SMB DC1-NAS (09/04/2026)
Bonne nouvelle : La limitation SMB identifiée le 07/04 a été résolue. DC1 peut désormais écrire directement sur le NAS.
¶ Cause de l'echec initial
Le NAS QNAP (QTS 4.2.6) ne supporte pas l'authentification Kerberos. DC1, en tant que contrôleur de domaine, tente Kerberos par défaut, ce qui échoue systématiquement (erreur 58).
¶ Solution retenue
Utiliser des credentials NTLM explicites via net use :
net use X: "\\10.0.112.5\Partage NAS" /user:admin MOT_DE_PASSE
copy C:\Backups-AD\backup.vhdx X:\Backups-AD\backup_systemstate_YYYY-MM-DD.vhdx
net use X: /delete
¶ Caractéristiques techniques du NAS
| Paramètre | Valeur |
|---|---|
| Protocoles SMB | 2.0.2, 2.1.0 |
| Kerberos | Non supporte |
| Chiffrement SMB3 | Non supporte |
| Signing | Supportee (non requise) |
| Authentification | NTLM uniquement |
¶ 7. Dépannage
| Problème | Solution |
|---|---|
wbadmin refuse C: comme cible |
Utiliser la méthode VHD décrite en section 4.2 |
| « Le volume est inclus dans la sauvegarde » | Même cause : la cible et la source sont sur le même volume. Le VHD monté en D: résout ce problème. |
| Erreur VSS writer | Vérifier : vssadmin list writers. Si un writer est en echec, redémarrer le service Volume Shadow Copy : Restart-Service VSS |
| Erreur 58 lors de la copie vers le NAS | Le NAS ne supporte pas Kerberos. Utiliser net use avec credentials NTLM explicites (section 4.3) |
NT_STATUS_DISK_FULL pendant la copie |
Espace insuffisant. Le VHD complet pèse environ 12-15 Go. |
| Le VHD ne se démonte pas | Fermer l'Explorateur de fichiers, arrêter tout processus accédant au volume, relancer detach vdisk |
| Backup très long (> 2h) | La première exécution est la plus longue. Les suivantes bénéficient du mécanisme incrémentiel. |
| La tâche planifiée ne s'exécute pas | Vérifier le compte d'exécution (SYSTEM), les conditions de declenchement et les logs dans l'Observateur d'événements |
¶ Voir aussi
- MO-AD-002 — Rotation du compte krbtgt — le backup décrit ici est le seul vecteur de rollback (restauration authoritative DSRM) en cas d'échec critique de la rotation
krbtgt - MO-AD-005 — Vérification santé AD (prérequis avant tout backup)
- MO-AD-007 — Audit périodique AD (contrôle que le dernier backup date de moins de 7 jours)
- MO-AD-008 — Rotation MDP critiques §5.5 — mise à jour de
nas.credaprès rotation du mot de passe NAS