Aller au contenu principal

Première configuration

Ce que fait cette étape​

L'instance tourne, mais elle ne protège encore aucune machine. Cette étape ouvre le portail, importe la licence, crée le premier MSP, enrôle le premier agent et vérifie une restauration.

À la fin, l'administrateur du MSP travaille dans le portail comme sur toute autre plateforme BaaStide. Voir Espace MSP.

Prérequis​

  • L'instance installée et initialisée. Voir Installer l'instance.
  • L'email d'invitation du premier administrateur de la plateforme, envoyé par l'initialisation.
  • Le fichier de licence .lic, ou une demande de licence en cours.
  • Une machine à protéger, qui fait confiance à l'autorité racine du certificat de l'instance.

1. Accepter l'invitation et se connecter​

  1. Ouvrez l'email d'invitation et suivez son lien.
  2. Choisissez un mot de passe de 12 caractères ou plus.
  3. Ouvrez l'adresse publique de l'instance. L'acceptation de l'invitation ne vous connecte pas.
  4. Connectez-vous avec votre email et votre nouveau mot de passe.
  5. Activez la vérification en deux étapes : lisez le QR code avec une application d'authentification, puis saisissez le code.
  6. Gardez les codes de secours dans un endroit sûr.

Voir Connexion et vérification en deux étapes.

2. Importer la licence​

  1. Ouvrez Plateforme, puis Licence.
  2. Relevez l'ID de la stack et l'Empreinte de la stack.
  3. Envoyez ces deux valeurs à BaaStide.
  4. Importez le fichier .lic que BaaStide vous renvoie.

Voir Importer une licence.

Sans licence, l'instance ne fait aucune sauvegarde. Les restaurations fonctionnent. Voir États de la licence et blocages.

3. Créer le premier MSP​

  1. Ouvrez Plateforme, puis MSP.
  2. Cliquez Créer un MSP.
  3. Saisissez le nom du MSP et l'email de son premier administrateur.
  4. Cliquez Créer.

L'administrateur du MSP reçoit une invitation par email. Il suit le lien, choisit un mot de passe et active la vérification en deux étapes, comme à l'étape 1.

Une instance sert un seul MSP.

4. Installer le premier agent​

Faites d'abord confiance à l'autorité racine du certificat de l'instance sur la machine à protéger. Sans cette confiance, l'installateur refuse la connexion.

Sur Debian ou Ubuntu, avec une autorité de certification privée, en root :

sudo cp racine-ca.crt /usr/local/share/ca-certificates/baastide-ca.crt
sudo update-ca-certificates

Sur Windows, dans une console PowerShell lancée en administrateur :

Import-Certificate -FilePath baastide-ca.crt -CertStoreLocation Cert:\LocalMachine\Root

Créez ensuite le jeton d'enrôlement dans le portail, comme administrateur du MSP :

  1. Ouvrez Clients, puis cliquez Créer un client.
  2. Ouvrez la fiche de ce client.
  3. Cliquez Ajouter un endpoint, puis choisissez le type Machine.
  4. Cliquez Créer le jeton.
  5. Copiez la commande de votre système avant de fermer la fenêtre. Le portail n'affiche le jeton qu'une fois.

Voir Clients et Créer un jeton d'enrôlement.

Lancez la commande copiée sur la machine à protéger. Elle porte l'adresse de votre instance après --server sur Linux, et après -Server sur Windows. Voir Installer l'agent sur Linux et Installer l'agent sur Windows. Pour enrôler une machine déjà équipée de l'agent, voir Enrôler en ligne de commande.

L'installateur télécharge l'agent depuis votre instance, vérifie sa taille et son empreinte, installe le service et enrôle la machine. La machine passe en ligne dans le portail.

L'enrôlement ne crée aucune politique : aucune sauvegarde n'est encore planifiée. Ouvrez la fiche de la machine et cliquez Créer une politique de fichiers pour fixer les chemins, la planification et la rétention. Voir Politique de fichiers et Planification et rétention.

5. Tester une restauration​

Vous êtes responsable du test de vos restaurations. BaaStide ne fait pas ce test pour vous. Une sauvegarde réussie montre que les données ont été envoyées et stockées. Elle ne montre pas que vous pouvez remettre un serveur ou une application en service.

Faites ce test après la première sauvegarde de la première machine :

  1. Lancez la première sauvegarde depuis le portail, ou attendez l'heure de la politique. Voir Sauvegarder maintenant.

  2. Ouvrez une session sur la machine protégée, en root sur Linux ou en administrateur sur Windows.

  3. Listez les points de restauration.

    sudo baastide restore --list

  4. Restaurez le point le plus récent dans un dossier de test.

    sudo baastide restore latest --target /var/lib/baastide/restore/test

  5. Comparez les fichiers restaurés avec les fichiers d'origine.

Sur Linux, choisissez une cible sous /var/lib/baastide/restore, puis déplacez les fichiers restaurés. Le service refuse une cible dans /tmp, dans /var/tmp ou sur un chemin en lecture seule.

Chaque session de restauration apparaît dans le portail et entre dans le journal d'audit.

Voir Restaurer en ligne de commande et Tester ses restaurations.

Limites et précautions​

  • L'acceptation d'une invitation ne connecte pas la personne. Elle doit ensuite se connecter au portail.
  • Le jeton d'enrôlement est à usage unique. Le portail ne l'affiche qu'une fois. Un jeton non utilisé peut être révoqué sur la fiche du client.
  • Une machine qui ne fait pas confiance à l'autorité racine du certificat ne peut pas s'enrôler.
  • Après le premier agent, exportez les clés des dépôts hors de l'instance, et refaites cet export après chaque ajout de machines. Voir Séquestre des clés.
  • Répétez le test de restauration sur chaque type de machine, puis après chaque changement d'une politique.
  • Réglez le bucket de sauvegarde de la plateforme avant de mettre l'instance en production. Tant qu'il n'est pas réglé, le portail avertit les administrateurs de la plateforme.

Référence​