Si vous voulez mettre un administrateur Active Directory mal à l'aise, demandez-lui quel est son plan de reprise.
Lorsque vous posez cette question, de nombreux administrateurs Active Directory vous parleront plutôt de leur plan de restauration des objets. Certains vous décriront leurs procédures de restauration des contrôleurs de domaine. Mais si vous insistez pour savoir s’ils ont élaboré un plan de restauration d’un domaine ou d’une forêt, moins d’un sur dix l’admettra. Ils seront encore beaucoup moins nombreux à affirmer l’avoir réellement testé.
Pourquoi si peu d'organisations élaborent-elles et testent-elles un plan de reprise après sinistre pour ce qui est incontestablement l'un des éléments les plus critiques de la plomberie logicielle d'une entreprise ?
Il y a deux raisons principales. Premièrement, AD est extrêmement fiable en tant que service d'infrastructure central. Il s'agit d'une application distribuée sur plusieurs instances, et la défaillance d'une ou plusieurs de ces instances n'empêchera pas le service de continuer à fonctionner. Dans une forêt AD correctement entretenue, une défaillance de domaine ou de forêt (en l'absence d'interférence extérieure) est un événement rare.
À cette absence de plan de reprise après sinistre s'ajoute le fait que, si vous êtes confronté à une catastrophe touchant Active Directory — la perte d'un domaine ou d'une forêt —, la reprise est une tâche tout sauf anodine. Microsoft document « Planning For » Active Directory Forest Recovery » de Microsoft compte 47 pages, mais il est loin d’être une procédure opérationnelle. Il s’agit d’une procédure générale et d’un ensemble de lignes directrices que vous devez adapter en profondeur à votre environnement. Vous pouvez juger de la gravité de la situation décrite dans ce document par le fait qu’il part du principe que, avant même de commencer à mettre en œuvre les mesures qui y sont décrites, vous avez déjà contacté le support technique de Microsoft pour déterminer la cause première du problème et obtenir des conseils sur l’opportunité de poursuivre ou non.
Ne laissez pas ces obstacles vous décourager. Soyons clairs : si vous ne mettez pas en place, ne testez pas et n’assurez pas la maintenance d’un plan de reprise après sinistre pour Active Directory, vous ne faites pas votre travail. Si vous hésitez encore, imaginez simplement que vous soyez convoqué dans une salle de réunion cossue après un incident de reprise après sinistre, où votre responsable, ainsi que tous les responsables jusqu’au directeur des systèmes d’information, vous demanderont pourquoi vous n’aviez pas prévu cette éventualité. C’est le cas de figure classique qui vous fera perdre votre emploi.
À un niveau élevé, la récupération d'un domaine ou d'une forêt comporte les étapes suivantes :
- Déterminez la cause de la panne d'Active Directory. Si vous ne savez pas pourquoi il est tombé en panne, vous ne pourrez pas passer à l'étape suivante et vous n'aurez d'autre choix que de reconstruire votre forêt à partir de zéro, sans pouvoir la restaurer. La plupart des entreprises ne s'en remettent jamais.
- Déterminez une date de sauvegarde à partir de laquelle l'AD peut être restauré (avant la panne). Point essentiel : si vous ne disposez pas d'une stratégie et d'un processus de sauvegarde efficaces, vous serez contraint de procéder à une reconstruction.
- Récupérer un domaine « seed » ou une forêt comportant un seul contrôleur de domaine pour chaque domaine, sur un réseau isolé.
- Connectez la graine au réseau et récupérez les DC existants dans la graine.
Ce processus de haut niveau nécessite beaucoup de travail. Enfermez-vous dans une pièce et réfléchissez-y sérieusement ; imaginez-vous en train de mettre en œuvre ce scénario dans la réalité. Le processus de reprise comporte également de nombreux pièges. Par exemple, lorsque vous connectez la forêt de départ au réseau d'entreprise, vous devez continuer à la maintenir isolée des utilisateurs pendant que vous développez sa capacité. Sinon, les contrôleurs de domaine de la forêt de départ seront saturés et vous ne pourrez pas en ajouter d'autres, car tous les utilisateurs de l'entreprise tenteront de se connecter au réseau.
Une fois que vous avez personnalisé la procédure décrite dans le document, vous devez mettre en place un environnement de test suffisamment sophistiqué et tester votre procédure afin de l'affiner et de mettre en évidence d'autres points problématiques auxquels vous n'auriez pas pensé lors de la phase de planification. Il s'agit d'un projet qui nécessite plusieurs semaines de travail. C'est une tâche suffisamment importante pour que Microsoft la propose dans le cadre d'ADRES (AD Recovery Execution Service), une prestation de services de 5 jours axée sur les problèmes de restauration d'Active Directory.
Alors oui, la planification de la reprise après sinistre d’Active Directory est une tâche de taille. Mais vous devez vous y atteler. Si vous êtes responsable informatique, demandez à votre équipe AD si elle dispose d’un plan de reprise. Et si vous constatez qu’elle n’en a pas, aidez-la à le financer ou à en faire une priorité ! J’aime comparer la reprise après sinistre d’AD à une assurance : on espère ne jamais en avoir besoin, et la plupart des gens n’en ont pas besoin. Mais si vous en avez besoin, vous en avez vraiment besoin .
