Des incidents mineurs aux pannes majeures : protection et restauration d’Active Directory (AD) et d’Entra ID

Ils contrôlent l’authentification et les accès. S’ils sont compromis, les attaquants peuvent s’octroyer des privilèges supérieurs, désactiver les défenses et mettre hors service les services métier essentiels. 

Elle implique des centaines d’étapes interdépendantes. Une exécution manuelle dans des conditions de stress entraîne souvent des retards, des erreurs et une restauration incomplète. 

Elle identifie les composants d’identité essentiels nécessaires pour relancer rapidement l’activité, en privilégiant les résultats plutôt qu’une reconstruction complète. 

Ils permettent aux équipes de s’entraîner en toute sécurité à la Recovery d’AD et d’Entra ID, de valider l’automatisation et de détecter les faiblesses avant une attaque réelle. 

En facilitant l’automatisation des étapes de Recovery, l’audit des modifications d’identité et l’intégration de la résilience des identités dans la plateforme Unity. 

Veuillez visionner la vidéo ici pour obtenir une transcription horodatée

Bonjour et bienvenue dans le podcast « Shift », consacré à la restauration d’Active Directory et d’Entra ID. 

Je m’appelle Darren Thompson et je serai votre animateur aujourd’hui. 

Aujourd’hui encore, Active Directory et Entra ID constituent la colonne vertébrale de la gestion des identités pour la plupart des entreprises
, mais ils restent également l’une des cibles principales des attaques. 

Lorsqu’Active Directory tombe en panne, tout peut s’arrêter, des systèmes d’entreprise à l’accès physique. 

Pourtant, de nombreuses stratégies de Recovery sont encore manuelles, voire inexistantes. 

Au cours de cette session, je m’entretiendrai avec Dan Conrad, expert mondial en matière
d’identité. 

Nous allons aborder les défis en constante évolution liés à la reprise après sinistre d’AD et la manière dont Commvault Cloud aide
les entreprises à automatiser et à accélérer ce processus. 

Dan, merci beaucoup d’être avec nous aujourd’hui. 

Je suis ravi d’être ici, Darren. 

Commençons donc par les bases. 

Pourquoi Active Directory et les identifiants d’accès restent-ils aujourd’hui l’un des actifs les plus critiques, mais aussi l’un des
plus vulnérables, au sein de nos entreprises ? 

La réponse à cette question comporte de nombreuses facettes, mais je pense que l’une des raisons pour lesquelles ce système est
si vulnérable tient à sa grande fonctionnalité. 

Tu sais, une fonctionnalité élevée ouvre la porte à de nombreuses failles potentielles, euh… mais ce système reste
vulnérable parce qu’il existe depuis plus de 25 ans. 

Les entreprises en dépendent et il n’a jamais failli en 25 ans, n’est-ce pas ? 

C’est le même Active Directory qu’elles ont mis en place il y a 25, voire 20 ans. 

Bien sûr, il a été mis à jour. 

Il a un peu évolué. 

Il a été étendu. 

Mais au fond, c’est toujours le même Active Directory, il fonctionne toujours et ils n’ont pas
encore eu besoin de le restaurer. 

C’est un peu comme l’électricité dans un centre de données. 

On part simplement du principe qu’elle sera toujours là, et on en a oublié l’existence. 

Il ne fait donc pas partie d’un plan de reprise. 

Mais ces dernières années, je suppose qu’il est clairement devenu une cible pour les cybercriminels. 

Parlez-nous un peu de cela. 

Si ce n’était pas un problème, nous n’aurions probablement pas cette conversation aujourd’hui, car
les services d’annuaire eux-mêmes sont encore assez vulnérables, mais ils avaient moins de valeur 

jusqu’à l’apparition de menaces telles que les ransomwares. 

Il y a eu des violations de données comme celles de Target ou de l’OPM, mais il
ne s’agissait pas d’attaques ayant réellement compromis l’ensemble de l’organisation au point de la paralyser. 

Ils se sont contentés de voler des données, ce qui était déjà grave en soi. 

Mais maintenant, quand on peut voler des données et, au moment de s’enfuir, paralyser l’organisation à partir d’un
facteur dont elle ne se doutait pas ou qu’elle n’avait pas envisagé comme une possibilité, 

la donne change considérablement. 

Intéressant. 

Je sais que nous avons travaillé d’arrache-pied sur une fonctionnalité en particulier, et j’entends
beaucoup parler de la Recovery de forêt. 

Parlez-nous un peu de cela. 

En quoi consiste-t-elle et pourquoi la Recovery de forêt semble-t-elle plus complexe pour un administrateur que
n’importe quelle autre Recovery ? 

Eh bien, c’est vrai. 

On ne parle pas ici de Recovery de serveur, ni même de Recovery de système de fichiers, ni même simplement
de replacer les données là où elles se trouvaient à l’origine. 

La restauration d’une forêt Active Directory est un processus complexe. 

Et si vous n’êtes pas familier avec la terminologie d’Active Directory, l’une des
entités au sein d’Active Directory est la structure de forêt. 

Les forêts contiennent donc des domaines, qui contiennent eux-mêmes des contrôleurs de domaine, ce que l’on appelle
communément des serveurs. 

Je peux restaurer un serveur, donc je devrais pouvoir restaurer une forêt. 

Et Active Directory est cette entité dynamique, vivante et en constante évolution qui interagit avec tous les
autres éléments. 

Et d’un point de vue sécuritaire, 

c’est comme si vous et moi réinitialisions constamment une relation de confiance. 

Nous savons qui nous sommes. 

Donc, si tu t’absentes un moment et que quelqu’un te remplace par une copie de Darren, je m’en rendrai
très bien compte et ça ne fonctionnera pas comme ça. 

Et c’est exactement ce que fait Active Directory. 

Ainsi, si un contrôleur de domaine tombe en panne, la plupart des administrateurs AD savent qu’il ne faut pas le
restaurer, car cela corromprait le reste de l’annuaire. 

Il faut en reconstruire un nouveau. 

On nettoie l’emplacement de l’ancien, puis on en reconstruit un nouveau. 

Quand on parle de restauration de forêt, 

il faut effectuer cette opération sur tous les contrôleurs de domaine en même temps. 

Il y a donc la Recovery du système d’exploitation, puis les 125 étapes d’orchestration à
effectuer pour que la forêt fonctionne à nouveau une fois rétablie. 

Et je crois que je commence à entrevoir la réponse à ma question suivante, mais expliquez-nous un peu
en quoi les organisations qui effectuent cette tâche de manière très manuelle souffrent des conséquences de ce 

. 

Exactement. 

Cela ne veut pas dire que c’est impossible. 

C’est un processus qui peut être mené à bien. 

Microsoft publie le guide de Recovery de la forêt. 

Euh… La plupart des administrateurs AD connaissent très bien ce guide, mais espèrent ne jamais avoir à s’en servir. 

Et le pire moment pour apprendre à restaurer une forêt, c’est quand on en
a besoin. 

Donc, à moins d’avoir prévu cela et même d’avoir conçu votre Active Directory pour qu’il puisse être restauré,
ce sera un processus très difficile car, comme je le disais, je vais 

vous donnerai un nombre variable d’étapes, car cela dépend du nombre d’étapes nécessaires, et toutes
doivent être exécutées correctement, sinon vous devrez parfois tout recommencer. 

Une entreprise d’environ 40 000 employés est venue nous voir ; elle disposait d’une forêt à domaine unique, ce qui
, dans l’univers d’Active Directory, est la configuration la plus simple à restaurer. 

Elle a estimé que son Active Directory minimal viable serait composé de huit contrôleurs de domaine
. 

C’est certes assez minimaliste, mais c’est faisable. 

Et ils voulaient essayer de le faire eux-mêmes. 

Du genre : « Comment s’y prendre ? Bon, c’est un gros effort, mais entraînons-nous et voyons ce que ça donne. » 

Ils ont donc procédé à la restauration, ce qui leur a pris 33 heures. 

C’est un effort herculéen de la part de nombreuses personnes, et ils y sont parvenus. 

Ils savent comment s’y prendre. 

Et ils sont venus nous voir en nous demandant : « Pouvez-vous faire mieux que ça ? » 

Exactement. 

Eh bien, bien sûr que nous le pouvons. 

Exactement. 

On a donc suivi le même processus. 

Comme on nous a donné l’occasion de participer à une course, on a triché. 

Nous avons donc pu restaurer la forêt en un peu moins de deux heures. 

Donc, oui, justement parce qu’on a automatisé toutes ces étapes, vous n’avez pas besoin, vous savez,
de vous y référer et de rassembler les bonnes informations pour les appliquer. 

Vous savez, chaque étape sera différente. 

En tant que RSSI, ce qui m’obsède, ce sont les délais de Recovery, n’est-ce pas ? 

Imaginons que j’aie subi une intrusion : Active Directory et tout le reste ont disparu. 

Vous savez, ces délais extrêmement longs nécessaires à un processus manuel comme celui-là vont
tous avoir une incidence sur le temps qu’il me faudra pour remettre mon entreprise en ligne. 

Exactement. 

Le temps de Recovery d’Active Directory est toujours une préoccupation majeure. 

J’essaie de mettre l’accent non pas sur le délai de Recovery, mais sur la précision de Recovery. 

Exactement. 

Vous savez, la réaction instinctive 

Quand on doit restaurer une forêt, on la remet en production à partir de la dernière
sauvegarde disponible. 

Vous savez, quand on savait qu’elle fonctionnait encore. 

J’encourage les entreprises à prendre le temps de respirer et à effectuer la Recovery dans un environnement de Recovery
isolé. 

Car, comme nous le verrons probablement, nous allons vous encourager à vous entraîner à la restauration de votre forêt
dans cet environnement de Recovery isolé. 

Vous pourrez ainsi mettre en place une version minimale viable de votre Active Directory, ce qui, dans une forêt à domaine unique
, correspond à un contrôleur de domaine. 

Dans une forêt à plusieurs domaines, ce qui est très facile à réaliser, il suffirait d’un contrôleur de domaine par domaine pour
examiner l’annuaire, voir ce qu’il contient, éventuellement déterminer comment il a été compromis afin de 

s’assurer que cela ne se reproduise pas. 

Une fois que vous maîtrisez ce processus, ce qui peut vous prendre quelques heures, passez à l’environnement de
production et effectuez votre Recovery de production. 

Exactement. 

Et ensuite, faites tout cela dans des conditions de stress et de chaos, n’est-ce pas ? 

Exactement. 

C’est exactement ce que l’on ressent. 

Exactement. 

Le pire moment pour apprendre à le faire, c’est quand ça ne marche pas. 

Oui, tout à fait. 

Nous avons donc déjà abordé pas mal de sujets. 

Prenons un peu de recul et parlons de manière générale de la manière dont Commvault vous aide dans tout
cela. 

Donnez-nous d’abord un aperçu général. 

En gros, on automatise le processus Microsoft. 

Hum, je vois cela sous deux angles différents. 

Nous dialoguons avec nos clients pour leur faire prendre conscience que les plans qu’ils pensent avoir
mis en place 

ne fonctionneront probablement pas. 

Et j’irais même jusqu’à dire que, lorsque je demande aux clients de me présenter leur plan et qu’ils commencent à m’en parler, j’adore
recueillir ces témoignages, car on y trouve des réponses très créatives. 

Ça va de la conception d’une forêt destinée à être restaurée, ce qui est un cas particulier, à la conception ou
à la mise en place de 49 contrôleurs de domaine supplémentaires. 

C’était l’une d’entre elles. 

Chaque jour, ils en éteignaient sept et en rallumaient sept. 

Franchement, ça ne sert à rien. 

Euh… 

Vous savez, de notre point de vue, nous allons automatiser l’intégralité de ce processus. 

Donc, si on arrive à leur faire s’entraîner à ça, à le mettre en pratique, à acquérir cette mémoire musculaire en
matière de régénération forestière, puis à leur faire comprendre qu’il faut procéder d’une certaine manière, ce sont là 

des avancées considérables. 

Oui. 

Et parlez-nous de l’argument clé de vente. 

D’autres le font aussi. 

Vous savez, pourquoi s’embrouiller sur ce qui nous différencie ? 

Euh, eh bien, parce que c’est ce que nous faisons : nous sommes avant tout une entreprise spécialisée dans la protection des données, n’est-ce pas ? 

Donc, nous savons comment protéger les données lorsque nous effectuons la Recovery de notre forêt sur la
plateforme Convol sous-jacente. 

Et qu’il s’agisse d’un logiciel ou de SAS, je suis sans aucun doute un fervent partisan de la solution SAS pour la Recovery de forêt Active
Directory. 

Mais tout est intégré à notre plateforme. 

Nous utilisons donc des éléments tels que le stockage immuable et Threat Scan en arrière-plan. 

Et si vous ne disposez pas d’un environnement de Recovery isolé pour vous entraîner, nous avons
Cleanroom Recovery. 

Nous aurons probablement l’occasion d’évoquer Commvault Cleanroom lors d’un prochain podcast. 

Il s’agit d’un environnement qui n’existe que lorsque vous en avez besoin. 

Donc, si vous devez vous entraîner à la restauration d’une forêt une fois par trimestre, Cleanroom est l’endroit idéal pour
le faire. 

Vous n’allez pas transposer cela en production, mais cela vous offre un cadre idéal pour apprendre les
différentes étapes et ancrer les gestes dans votre mémoire musculaire. 

Il y a quelques semaines, un client m’a demandé : « Si nous mettons en place la solution avec Commvault, comment savoir
si ça va fonctionner ? » 

Je lui ai répondu : « Eh bien, vous allez le faire tous les vendredis. 

Pourquoi ça ne fonctionnerait-il pas lorsque vous en aurez besoin le lundi ? 

Il ne s’agit donc pas d’attendre le moment où vous devrez appuyer sur le bouton pour le faire. 

Vous le savez, car vous l’avez fait maintes et maintes fois. 

Et c’est un processus simple qui consiste simplement à exécuter les scripts automatisés qui s’occupent
de tout, depuis 

tu sais, la création du système d’exploitation à partir d’un OS vierge, la restauration à partir d’une sauvegarde d’état du système
ou la restauration après une promotion au rôle de contrôleur de domaine, puis en exécutant ces 150 étapes tout au long du processus. 

Vous savez, c’est une méthode un peu vieillotte, mais qui a fait ses preuves. 

C’est en forgeant qu’on devient forgeron. 

C’est vrai. 

C’est vrai en informatique comme partout ailleurs. 

C’est vrai. 

Et vous savez, votre organisation évoluera, les situations changeront. 

Ainsi, lorsque vous vous entraînerez, vous identifierez ces changements. 

Peut-être avez-vous ajouté une structure à votre Active Directory que vous aviez oubliée lors de votre
Recovery. 

C’est l’occasion idéale de le signaler. 

Parlez-nous donc de cela ; je sais que c’est un volet très actif de notre feuille de route chez Commvault. 

Nous consacrons beaucoup d’efforts d’ingénierie à ce volet de notre produit. 

Parlez-nous des dernières fonctionnalités phares que nous intégrons à votre code le plus récent
. 

Bien sûr, entre nous. 

Entre nous. 

Entre nous. 

Personne n’écoute. 

Oui, les dernières nouveautés : nous venons de lancer « Clean OS Recovery », qui représente une avancée majeure
dans le domaine de la Recovery des forêts, car nous ne transférons aucun 

système d’exploitation résiduel, aucune partie du système d’exploitation existant. 

Certes, Commvault proposait déjà des solutions pour gérer cela, mais il s’agira ici d’un système
d’exploitation vierge sur lequel sera installé Active Directory. 

Vous n’avez donc pas à vous inquiéter : si vous aviez enregistré des données sur les contrôleurs de domaine – ce qui n’était pas une
bonne idée –, vous n’allez transférer qu’un tout nouveau contrôleur de domaine Active Directory 

pour cela. 

Par ailleurs, nous allons mettre en place, très prochainement, des évaluations d’Active
Directory. 

Lorsque vos sauvegardes s’exécuteront – disons quotidiennement –, elles collecteront des informations sur votre
annuaire et vous indiqueront : 

que vous avez créé des vulnérabilités dans ces cinq domaines, et voici ce que vous devez faire pour
les résoudre. 

Vous en serez donc immédiatement informé. 

Grâce à ces informations, vous aurez beaucoup
moins de chances d’avoir à effectuer une Recovery de forêt. 

Et nous disposerons également, dans un avenir proche, d’un audit d’Active Directory en temps réel. 

Nous en parlerons plus tard dans l’après-midi lors d’une des sessions : si
quelqu’un modifie votre annuaire d’une certaine manière, vous aurez la possibilité de 

à l’aide de vos sauvegardes ou des données existantes. 

Et nous avons entendu parler cette semaine, lors de la conférence, de Unity, la plateforme Unity, dans sa
dernière version. 

Et vous avez évoqué l’idée que cette solution est particulièrement intéressante car elle s’inscrit dans une plateforme, dans
l’approche globale de Convolt. 

Mais aujourd’hui, nous réunissons sous un même toit la sécurité, l’identité, la protection et Recovery. 

Parlez-nous un peu de cela et de ce que cela signifie pour quelqu’un qui se préoccupe quotidiennement d’Active
Directory. 

Eh bien, vous savez, du point de vue de Commvault, nous utilisons les données, le Backup and
Recovery des données – en réalité, simplement le Backup and Recovery – comme un point de contrôle des données, qu’il s’agisse 

qu’il s’agisse de systèmes de fichiers, de machines virtuelles, de M365 ou de Salesforce, comme point de départ pour analyser
les données et prendre des décisions en fonction des informations dont vous disposez. 

Collecter des informations ne sert pratiquement à rien si l’on ne peut pas s’en servir pour prendre des décisions,
n’est-ce pas ? 

C’est un peu comme si le pilote vous disait que vous alliez voler à 35 000
pieds. 

Mais je ne sais pas quoi faire de cette information. 

Mais si on me dit que, disons, 

si nous nous dirigeons vers le mauvais aéroport, je voudrais peut-être descendre de l’avion. 

Ainsi, grâce aux informations que nous recueillons lors de l’analyse des données provenant du
système de secours, nous allons pouvoir analyser et vous fournir des informations en temps réel sur 

vos données. 

Oui, c’est incroyable. 

Et j’ai justement discuté cette semaine à New York avec des RSSI et des directeurs techniques pour leur expliquer ce que cela
signifie concrètement : depuis un seul et même écran, j’ai la possibilité de 

envisager Active Directory de la manière que nous avons décrite. 

les données d’entreprise, mes applications, où qu’elles se trouvent — dans le cloud, en environnement hybride ou sur site —, et le fait de
disposer d’une plateforme unique gérant tout cela, ainsi que ma gouvernance, est vraiment convaincant. 

Nous nous concentrons sur AD parce que je viens de ce milieu, mais parlons un peu d’Entra,
d’Entra ID. 

Expliquez-nous simplement où cela s’inscrit, comment cela s’étend-il à notre environnement ? 

La plupart des entreprises, tout le monde dispose d’Active Directory, disons-le simplement. 

Je dirais que probablement 95 % des organisations disposent d’Active Directory. 

La plupart de ces organisations disposent également d’Entra ID, car elles utilisent M365. 

Elles hébergent donc leur SharePoint, leur messagerie, leurs équipes, le tout dans M365. 

Entra ID est donc le service d’annuaire qui se trouve derrière tout cela. 

Encore une fois, 95 % de ces entreprises synchronisent ces données dans Entra ID à partir de leur Active Directory sur
site. 

L’Active Directory sur site est donc la source de référence pour la plupart de ces identités. 

Ces données sont donc synchronisées vers Entra ID, ce qui permet aux utilisateurs d’accéder aux applications cloud. 

Je constate une évolution très progressive chez les organisations, qui prennent conscience qu’elles n’ont pas besoin 

d’objets utilisateur, d’entités utilisateur ou d’identités sur site et qu’elles adoptent simplement une identité Entra
. 

Par exemple, un grand client du secteur de la grande distribution, disons qu’il compte 25 000 employés,
dont peut-être seulement 5 000 travaillent au bureau, où ils ont besoin d’accéder aux imprimantes, aux 

partages et autres éléments de ce genre, des solutions traditionnelles. 

Les autres ont simplement besoin de s’authentifier pour accéder aux applications basées sur le cloud. 

C’est un cadre idéal pour déployer Entra. 

Ils peuvent donc disposer d’objets exclusivement gérés par Entra. 

Mais Entra s’accompagne de certaines complexités, n’est-ce pas ? 

Tout d’abord, il n’y a pas de Recovery pour Entra. 

Ce concept n’existe pas. 

Ce n’est pas possible. 

La récupération s’effectue au niveau des objets et des attributs. 

Pour l’utilisateur, puisqu’il se synchronise depuis un environnement sur site ou peut-être depuis un autre fournisseur d’identité ou
quelque chose de ce genre, la restauration des objets est utile, mais ce n’est pas absolument essentiel. 

En revanche, les éléments importants des configurations, à savoir les politiques d’accès conditionnel et vos
applications d’entreprise qui permettent aux utilisateurs d’accéder à des applications SaaS, voilà ce sur quoi vous 

devez vraiment vous concentrer sur leur restauration. 

Exactement. 

C’est logique. 

Changeons donc de sujet, éloignons-nous un peu de ce thème. 

Je voudrais vous brosser 

un scénario catastrophique. 

Nous venons d’être compromis. 

L’organisation est à terre. 

Il est clair que l’AD sera l’une des premières choses vers lesquelles je me tournerai pour rétablir la situation. 

Sans cela, je n’ai plus d’utilisateurs, plus d’identités, plus de privilèges. 

Expliquez-nous, dans les grandes lignes, à quoi ressemblerait ce processus de Recovery. 

Ce que j’ai constaté, c’est que lorsque j’examine les plans de reprise après sinistre (DR) ou de reprise de crise (CR
) d’une organisation, celle-ci utilise involontairement Active Directory pour restaurer Active Directory. 

Et c’est un concept étrange. 

C’est le genre de situation où l’on se frappe le front en se disant « mais bien sûr ! ». 

Ainsi, lorsque vous vous apprêtez à mettre en œuvre votre plan de reprise après sinistre informatique, la première chose que vous faites est d’essayer de
vous connecter à votre plan de contrôle, qu’il s’agisse de CommBald ou d’un autre système. 

La plupart du temps, cet authentificateur permettant d’accéder au plan de contrôle est un identifiant Active Directory
. 

Vous ne pouvez donc pas utiliser Active Directory pour restaurer Active Directory. 

Ou bien le serveur sur lequel vous effectuez cette opération est membre d’un domaine. 

Il ne sera pas disponible. 

Vous devez donc en tenir compte. 

Une fois que vous en êtes au stade où vous allez restaurer votre Active Directory, il y a beaucoup
de travail à faire. 

Si vous aviez adopté le bon état d’esprit dès le départ, ce travail sera un peu plus simple
, car vous aurez conçu votre infrastructure en vue de Recovery. 

Dans l’univers Commvault, ça se passera comme je l’ai dit : très probablement, vous suivrez les conseils de
Dan et vous effectuerez la restauration dans un environnement de Recovery isolé après avoir pris le temps de respirer 

et que vous vous serez rendu compte que, pour bien faire les choses, il vous faudrait une heure supplémentaire. 

Examinez ma Recovery minimale d’Active Directory pour voir en quoi j’ai été compromis et
analysez cela. 

Allez même jusqu’à comparer les sauvegardes. 

C’est l’un des avantages que Commvault offre et que les autres solutions n’offrent pas : 

nous pouvons extraire un instantané à partir d’une sauvegarde, disons d’il y a trois mois, des objets et
des attributs d’Active Directory, et le comparer à l’environnement de production s’il existe toujours, 

ou à la sauvegarde que vous avez effectuée hier pour voir quels sont les changements. 

Quelqu’un a-t-il obtenu des privilèges élevés ? 

Les stratégies de groupe ont-elles été modifiées, etc. ? 

Au cours de notre session de cet après-midi, nous allons donc vous montrer comment fonctionnerait
une chaîne d’attaque visant Active Directory et comment revenir en arrière sur une stratégie de groupe liée au niveau supérieur à laquelle 

appliquait un paquet de logiciels malveillants : c’est vraiment ce sur quoi nous allons nous concentrer dans cette perspective. 

Et pouvoir utiliser 

la résilience des données ou le processus de Recovery d’un objet ou d’un attribut pour éliminer une
chaîne d’attaque. 

Vous en avez évoqué quelques-uns, mais parlons-en plus en détail. 

Parlons plus précisément des Features de Commvault qui vous enthousiasment le plus,
en tant que solution qui aide les utilisateurs à restaurer en permanence leur annuaire d’attributs. 

Quels sont les éléments de Commvault — les Features, les fonctions, les atouts
du produit — qui nous distinguent vraiment de la concurrence ? 

Je travaille chez Commvault depuis un peu plus d’un an maintenant, et je dois 

certes, je ne fais que de l’Active Directory depuis 25 ans, mais quand j’appuie sur ce
bouton et que je lance une Recovery de forêt, c’est vraiment génial. 

Les choses avancent, et ce n’est pas une illusion, les choses avancent. 

Tout fonctionne simultanément. 

Les contrôleurs de domaine sont lancés et provisionnés en arrière-plan. 

Par exemple, l’environnement de démonstration que j’ai créé va démarrer. 

C’est une forêt à plusieurs arborescences et à plusieurs sous-forêts, une architecture assez complexe, mais la façon dont elle
se restaure… 

est tout à fait impressionnante. 

Elle lance immédiatement cinq contrôleurs de domaine, car il y a cinq domaines répartis dans deux
arborescences différentes. 

Ensuite, le système revient en arrière et exécute tous les processus de Recovery de la forêt, notamment
la prise en charge des rôles FISMAL et l’augmentation du pool RID. 

Mais il s’agit d’un guide d’intervention interactif. 

Vous voyez tout se dérouler sous vos yeux. 

Donc, si vous souhaitez intervenir, vous pouvez le faire. 

Vous pouvez mettre le processus en pause. 

Vous pouvez intervenir à n’importe quelle étape. 

Si une partie de la Recovery de la forêt vous intéresse particulièrement, quelque chose de très pointu comme l’augmentation du
pool de rid, c’est tout à fait votre truc. 

Vous pouvez l’interrompre à ce moment-là, vous connecter à un contrôleur de domaine, ouvrir l’éditeur ADSI,
trouver l’attribut, ouvrir la calculatrice Windows, y coller le nombre, y ajouter 100 000, puis 

à nouveau. 

Si ce processus compliqué vous plaît, vous pouvez l’intégrer à notre guide d’exploitation, puis
revenir ici et cliquer sur « Continuer ». 

Euh… Et c’est un manuel d’exploitation interactif. 

On appelle ça « l’intervention humaine dans la boucle ». 

Vous observez tout se dérouler sous vos yeux et vous pouvez voir tous les processus
s’exécuter soit en série, soit simultanément, car beaucoup d’entre eux se déclenchent et, 

vous savez, c’est ce qu’on appelle la parallélisation. 

Incroyable. 

Je sais que les démonstrations que nous faisons aux prospects et à nos partenaires suscitent beaucoup
d’enthousiasme, et on comprend pourquoi, n’est-ce pas ? 

Et il faut reconnaître que nous savons rendre cela très impressionnant. 

Donc, lorsque vous effectuez la Recovery de la forêt et que vous optez pour le scénario de Recovery le plus complexe, et
que les contrôleurs de domaine commencent tout simplement à apparaître les uns après les autres, c’est un processus assez incroyable. 

Mais prenons un peu de recul par rapport à la technologie. 

Si je pense à la façon dont les gens appréhendent la technologie en matière 

à la Recovery, à une Recovery propre et à une Recovery dans laquelle l’entreprise peut avoir confiance. 

Quels sont les principaux facteurs de réussite pour ces trois aspects ? 

Eh bien, du point de vue d’Active Directory, j’aime définir le « minimum viable ». 

Comme je l’ai mentionné, l’organisation qui a attiré notre attention sur ce point a décidé que
huit contrôleurs de domaine constituaient son minimum viable. 

C’était un grand pas en avant. 

Oui. 

Car dans le domaine de la Recovery d’Active Directory, il faut d’abord, vous savez,
découvrir ce qu’est le minimum viable, l’identifier. 

Et une fois ce cap franchi, c’est-à-dire une fois que vous avez récupéré votre minimum viable… 

90 % de la pression disparaît. 

L’annuaire est là ; peut-être que je ne dispose pas encore de tous les contrôleurs de domaine, peut-être qu’un
utilisateur à l’autre bout du monde rencontre des difficultés d’authentification, mais dans l’ensemble 

, vous êtes plutôt bien parti. 

Il s’agit d’identifier les personnes qui participent à ce processus. 

Où ai-je besoin de mes contrôleurs de domaine ? 

Les personnes qui maîtrisent leur propre service d’annuaire, les « anciens », comme moi, les
« anciens » de l’organisation. 

Ensuite, il faut mettre en place le processus, et même gérer les enjeux politiques qui vont de pair. 

Une fois que vous avez défini les personnes et les processus, vous devez vous en tenir à ces plans tout
en sachant qu’ils peuvent évoluer en fonction des scénarios. 

Mais dans l’ensemble, vous serez sur la bonne voie si vous avez un plan et que vous l’avez
mis en pratique. 

Oui. 

Et terminons en parlant de ces exercices, d’accord ? 

Les tests. 

J’adore cette idée de tester en situation de chaos, car j’ai moi-même été confronté à une faille de sécurité. 

Je sais ce que ça fait. 

C’est bouleversant. 

Votre cerveau tourne à toute vitesse. 

Tout le monde se renvoie la balle. 

Toutes ces choses que tu pensais pouvoir faire te semblent soudain 

vous donnent l’impression d’être bien plus compliquées qu’elles ne devraient l’être. 

Alors, parlez-nous des bonnes pratiques en matière de tests et d’entraînement. 

Quelles sont les technologies que nous pouvons utiliser ? 

Que pouvons-nous mettre en œuvre au sein de notre propre organisation pour bien nous entraîner ? 

Eh bien, oui, au moins pour éviter d’introduire ce niveau de chaos. 

Donc, quand on examine un plan de Recovery ou même quand on s’entraîne à le mettre en œuvre, si j’appuie
sur ce bouton, que se passe-t-il si ce à quoi il est relié n’existe plus ? 

Vous savez, il suffit de lui couper l’herbe sous le pied pour que cela vous amène à
développer une véritable redondance dans votre propre état d’esprit. 

Du genre : « Comment vais-je m’y prendre ? » 

J’ai moi-même vécu des pannes majeures pendant mon service dans l’armée américaine et des situations de
ce genre. 

Ce n’était pas une question de technologie. 

C’était une question de créativité des personnes. 

Les rouages commencent tout juste à s’enclencher. 

Et je me souviens que certaines des solutions les plus créatives auxquelles nous avons eu recours n’étaient pas très élégantes. 

Mais au bout du compte, tout est revenu à la normale. 

Dans l’ensemble, les utilisateurs ne se sont même pas rendu compte qu’il s’était passé quelque chose. 

Je ne dis pas que cela va se passer ainsi avec Active Directory, mais tout dépendra de
votre flexibilité, de votre connaissance de votre propre organisation, 

du plan de reprise que vous avez élaboré en équipe et de votre capacité à vous adapter lorsque le chaos
s’installe. 

Et j’adore l’idée que plus on s’entraîne, plus on s’améliore, et qu’à mesure que les processus
se mettent en place, on peut les automatiser. 

Exactement. 

Oui, on constate bien trop souvent que des tâches informatiques sont automatisées avant même que le processus ne soit prêt. 

C’est donc là un autre avantage de la pratique. 

Bon, Dan, comme prévu, nous sommes à court de temps. 

Merci beaucoup de nous avoir accordé un peu de votre temps. 

Il y a tellement de 

connaissances et de contenu. 

J’espère que le public pourra en tirer le meilleur parti. 

En tout cas, merci beaucoup. 

Je vous en suis reconnaissant, Darren, merci. 

Si la discussion d’aujourd’hui vous a amené à réfléchir à votre propre Active Directory et à son
plan de Recovery, ou à la rapidité avec laquelle vous pourriez vous remettre d’une compromission, rendez-vous sur 

commvault.com/ad-exposed. 

Vous y trouverez des conseils pratiques et des outils pour automatiser, orchestrer et tester la reprise de votre Active
Directory ou de votre infrastructure d’identification avec Commvault Cloud. C’est tout ce dont vous avez besoin pour transformer ce qui pourrait être un 

catastrophe 

en une reprise rapide et sereine. 

Merci de votre attention. 

vous