La Structure de Veeam Availability : Un Élement Clé pour la Protection des Données

La structure de Veeam Availability joue un rôle fondamental dans la protection et la récupération des données pour de nombreuses organisations. Lors de la mise en place de cette infrastructure, il est essentiel de garder à l’esprit que tout système de protection des données ne doit pas dépendre de l’environnement qu’il est censé protéger. Cela revêt une importance particulière en cas de défaillance de l’environnement de production, car le serveur de secours dépendrait alors aussi des contrôleurs de domaine pour l’authentification, la résolution de noms et d’autres processus essentiels.

Domaine ou Groupe de Travail ?

En matière de sécurité et de gestion, il existe plusieurs options pour configurer l’infrastructure de Veeam. Voici les choix allant des plus sûrs aux moins sûrs :

1. Ajouter les composants de Veeam à un domaine de gestion dans un Active Directory Forest séparé et protéger les comptes administratifs grâce à l’authentification multifactor (MFA).
2. Ajouter les composants de Veeam à un groupe de travail indépendant et les placer sur un réseau séparé, si nécessaire.
3. Ajouter les composants de Veeam au domaine de production, tout en s’assurant que les comptes possédant des privilèges administratifs soient protégés par l’authentification multifactor.

La Meilleure Pratique

La meilleure pratique pour une mise en œuvre plus sécurisée consiste à ajouter les composants de Veeam à un domaine de gestion situé dans un Active Directory Forest séparé, en protégeant les comptes administratifs via l’authentification multifactor. Cela garantit que l’infrastructure de Veeam ne dépend pas de l’environnement à protéger.

Configuration de Groupe de Travail

L’utilisation d’un groupe de travail nécessite que chaque système soit configuré de manière indépendante, y compris les politiques de sécurité locales, les utilisateurs et les permissions. Dans les environnements plus vastes, cela peut engendrer une gestion complexe. De plus, l’authentification Kerberos ne peut pas être utilisée, basant uniquement sur NTLM.

Un groupe de travail est également plus difficile à protéger contre les menaces internes, comme un collaborateur mécontent, car les comptes locaux sont utilisés sur les serveurs de travail, rendant impossible le blocage d’un utilisateur au niveau de l’Active Directory. De plus, il devient plus complexe de prouver la conformité et la sécurité du système, ce qui peut être un obstacle pour satisfaire les exigences réglementaires.

Avantages d’un Groupe de Travail :

• Facilité et rapidité de configuration.
• Séparation des comptes de Veeam des comptes privilégiés du domaine de production, ce qui aide à prévenir les attaques de keyloggers.
• Indépendance par rapport à l’environnement à protéger.
• Pas besoin de serveurs supplémentaires tel que des contrôleurs de domaine, NTP et DNS.

Inconvénients :

• Charge administrative élevée dans les grands environnements.
• Communication limitée à NTLM, pas de Kerberos.
• Difficile de répondre aux réglementations de sécurité et de produire des attestations de conformité.
• Impossible d’utiliser le système gMSA pour l’authentification d’invités lors des interactions de sauvegarde.

Configuration de Domaine de Gestion

Cette configuration, qui implique l’ajout d’un domaine de gestion indépendant dans un Active Directory Forest séparé, est idéale pour les grands environnements. Bien que cette option ajoute un certain niveau de complexité, elle facilite la gestion centralisée des politiques et des permissions des utilisateurs. De plus, elle permet de désactiver les comptes AD d’un simple clic, aidant ainsi à atténuer rapidement les menaces internes.

Avantages d’un Domaine de Gestion :

• Facilité de gestion.
• Désactivation des comptes par un simple clic.
• Indépendance de l’environnement à protéger.
• Communication sécurisée via Kerberos entre les composants de Veeam.
• Utilisation de politiques de groupe pour un contrôle adapté et la conformité aux réglementations de sécurité.
• Intégration possible de l’authentification multifactor pour une sécurité renforcée.

Inconvénients :

• Nécessité de composants d’infrastructure supplémentaires.
• Besoin de connaissances techniques avancées pour une configuration adéquate.

Confiance entre Forêts (Forest Trusts)

Les Forest Trusts sont intéressants pour établir une autonomie administrative dans un environnement multi-forêts d’Active Directory. Un forest trust permet à un domaine de production de faire confiance à un domaine de gestion de manière unidirectionnelle, offrant ainsi une expérience fluide d’authentification et d’autorisation entre les forêts. Cela se traduit par une relation de confiance dans laquelle le domaine de production établit des connexions vers le domaine de gestion.

Conclusion

Le choix entre un domaine de gestion et un groupe de travail dépend de la taille de l’infrastructure et des besoins de sécurité de l’organisation. Pour les environnements plus grands, la mise en place d’un domaine de gestion indépendant et sa protection par l’authentification multifactor représentent l’option la plus sécurisée, garantissant que les systèmes de protection des données comme Veeam ne dépendent pas de l’infrastructure à protéger. Toutefois, un groupe de travail peut s’avérer utile pour des environnements plus petits, où la complexité et les exigences de conformité sont moindres.

Dans la prise de décision concernant l’organisation de l’infrastructure de Veeam, il est primordial de considérer la sécurité à long terme et la facilité de gestion pour protéger les données critiques de l’organisation.

Source : Veeam