Préparer le média de restauration

Ce que fait le média de restauration

Le média de restauration est une clé USB qui démarre une machine vide. Il remet une machine entière en marche depuis son image, sans agent installé et sans système d'exploitation sur le disque.

Une seule clé USB suffit pour toutes vos machines et tous vos clients. Elle ne contient aucun secret : une clé perdue ne donne accès à rien.

Le média ne décide rien seul. Il affiche un code d'appairage. Un administrateur du MSP tape ce code dans le portail, choisit la machine source, l'image et le disque cible, puis approuve avec un code de vérification. Le média reçoit alors un accès en lecture seule au dépôt de cette machine, et seulement pour la durée de la restauration.

Cette page couvre la préparation de la clé USB, l'appairage et l'approbation. Les étapes qui suivent sur l'écran du média dépendent du système de la machine source :

• Restaurer une machine Windows entière ;
• Restaurer une machine Linux entière.

Prérequis

• Une image complète réussie de la machine source. Voir Image complète d'une machine Windows ou Image complète d'une machine Linux.
• Le droit Restauration bare metal. Les rôles Administrateur et Administrateur plateforme l'ont. Les rôles Technicien et Lecture seule ne l'ont pas. Voir Rôles et droits.
• La vérification en deux étapes active sur votre compte. L'approbation demande un code de votre application d'authentification. Voir Connexion et vérification en deux étapes.
• Une ISO de restauration publiée par l'administrateur de la plateforme.
• Une clé USB plus grande que le fichier ISO, et un outil d'écriture d'image : Rufus, balenaEtcher ou dd.
• Une machine cible x86-64. Démarrez-la en mode UEFI.
• Un câble réseau sur la machine cible. Le média doit joindre le serveur BaaStide et l'adresse des données de sauvegarde, en HTTPS sortant, port 443.
• L'adresse HTTPS de l'instance et l'empreinte SHA-256 de son autorité de certification. Le média demande ces deux valeurs au démarrage. Votre MSP ou l'administrateur de la plateforme vous les donne.

Un utilisateur sans le droit Restauration bare metal lit une seule phrase sur la page : « Votre rôle ne peut pas lancer une restauration bare metal. Demandez à un administrateur MSP. » L'API refuse aussi l'ISO à cet utilisateur.

Ouvrir la page de restauration bare metal

1. Ouvrez le portail.
2. Dans la barre du haut, ouvrez Restauration bare metal.

Le portail ouvre la page avec trois blocs : la machine choisie à l'avance quand il y en a une, le champ du code d'appairage, et les étapes de préparation du média.

Trois raccourcis ouvrent la même page avec la machine déjà choisie. Ils ne choisissent la machine à l'avance que pour une machine Windows :

Où	Ce que le raccourci choisit
La fiche d'une machine, bouton Restaurer toute la machine	La machine. Le bouton s'affiche seulement sur une machine Windows qui a déjà une image.
L'onglet Activité d'une machine, ligne d'une sauvegarde d'image	La machine et cette image, pour une machine Windows. Le bouton s'affiche aussi sur une machine Linux, mais la machine n'est alors pas choisie.
L'assistant de restauration de fichiers, lien Restaurer toute la machine	La machine, et l'image quand elle est connue, pour une machine Windows. Le lien s'affiche aussi sur une machine Linux, mais la machine n'est alors pas choisie.

Le bloc de la machine choisie porte un bouton Changer. Il revient à la page sans machine choisie. Quand la machine du lien est introuvable, qu'elle n'a pas d'image, ou qu'elle n'est pas une machine Windows, le portail écrit « La machine du lien est introuvable, ou elle n'a pas d'image. Choisissez la machine après le code. » Tapez alors le code, puis choisissez la machine dans la liste.

Télécharger l'ISO de restauration

1. Ouvrez Restauration bare metal.
2. Lisez le bloc Préparer le média de restauration, étape 1.
3. Lisez l'étiquette de signature à côté de la version :
   • Signée par BaaStide : la clé de signature de BaaStide a signé cette version, sa taille et son empreinte.
   • Signature absente ou invalide : la signature manque, ou elle ne correspond pas. Demandez à l'administrateur de la plateforme avant d'utiliser cette ISO.
4. Cliquez Télécharger.
5. Copiez l'Empreinte SHA-256 affichée sous le bouton.
6. Calculez l'empreinte du fichier téléchargé, puis comparez les deux valeurs.
   • Sur Linux : sha256sum <fichier ISO>.
   • Sur Windows : Get-FileHash <fichier ISO> -Algorithm SHA256.
7. N'écrivez la clé USB que si les deux empreintes sont identiques.

Quand la plateforme ne publie aucune ISO, le portail écrit « Aucune ISO de restauration n'est encore publiée. Demandez à l'administrateur plateforme. »

Écrire la clé USB

1. Branchez la clé USB sur votre poste de travail.
2. Écrivez l'ISO sur la clé USB, sans la modifier :
   • Rufus : choisissez l'ISO, choisissez la clé, puis Démarrer.
   • balenaEtcher : choisissez l'ISO, choisissez la clé, puis Flash.
   • dd : dd if=<fichier ISO> of=/dev/sdX bs=4M status=progress conv=fsync.
3. Attendez la fin de l'écriture, puis retirez la clé.

L'écriture efface toutes les données de la clé USB. Vérifiez le nom du périphérique avant de lancer dd.

La même clé USB sert pour toutes vos machines. Gardez-la, et refaites-la à chaque nouvelle version de l'ISO.

Démarrer la machine cible sur la clé USB

1. Branchez la clé USB et un câble réseau sur la machine cible.
2. Allumez la machine, puis ouvrez son menu de démarrage UEFI. La touche est souvent F12, F11 ou Échap.
3. Choisissez la clé USB. Secure Boot peut rester actif.
4. Lisez les premières lignes à l'écran. Le média vérifie que les disques sont libres, puis écrit « Disks are free: no RAID array or LVM volume is active. »
5. Répondez à la question du réseau :
   • Appuyez sur Entrée pour une adresse par DHCP.
   • Tapez manual pour une adresse IPv4 fixe. Le média demande ensuite l'interface, l'adresse avec son préfixe (par exemple 192.0.2.10/24), la passerelle et le serveur DNS.
6. Lisez l'adresse IP que le média affiche.
7. Tapez l'adresse HTTPS de l'instance, puis Entrée.
8. Tapez l'empreinte SHA-256 de l'autorité de certification, puis Entrée. C'est une suite de 64 caractères hexadécimaux en minuscules.

Le média affiche ensuite un code d'appairage et la liste des disques de la machine :

    Pairing code:  K7Q-4MZ   (valid until 14:32 UTC)

In the portal, open Bare metal restore and type this code.
Disks of this machine:
  sda      476.9 GiB  Samsung SSD 860 EVO 500GB  serial S3Z2NB0K123456

Le code a six caractères, affichés en deux groupes de trois. Il ne contient jamais les caractères 0, O, 1, I ni L. Il sert une seule fois et il vaut 10 minutes.

La clé USB du média n'est jamais dans la liste des disques. Le média l'écarte, aussi quand il tourne depuis la mémoire.

Le média garde en mémoire seule sa clé d'appairage, la clé du dépôt et son jeton d'accès. Il n'écrit aucun fichier, sauf sur les disques cibles que le technicien confirme.

Appairer le média avec le portail

1. Ouvrez Restauration bare metal dans le portail.
2. Vérifiez le MSP actif. Le portail écrit sous le champ « Cette restauration sera faite dans le MSP … ». Le code ne porte aucun MSP : la restauration part dans le MSP actif de votre session.
3. Tapez le code d'appairage dans le champ Code d'appairage. La casse, le tiret et les espaces n'ont pas d'importance.
4. Cliquez Continuer.

Le portail ouvre la page de l'appairage, avec l'état À approuver. Le média écrit de son côté « The code was typed in the portal. Waiting for the approval in the portal. »

Erreurs possibles :

Message du portail	Cause
« Le code d'appairage a 6 caractères, par exemple K7Q-4MZ. »	Le code tapé n'a pas la bonne forme.
« Ce code d'appairage n'est pas correct, a expiré ou a déjà servi. Regardez l'écran du média et tapez de nouveau le code. »	Le code est inconnu, périmé ou déjà utilisé. Le portail donne la même réponse dans les trois cas.
« Trop de tentatives. Attendez quelques minutes. »	Dix codes faux en 15 minutes avec le même compte.

Quand le code expire sans être tapé, le média en affiche un nouveau tout seul. Lisez l'écran du média et tapez le nouveau code.

remarque

Gardez l'adresse de la page de l'appairage. Le portail écrit « Cette page est le seul accès à cette restauration. Gardez son adresse. » L'adresse s'ouvre seulement dans le MSP qui a tapé le code. Dans un autre MSP, la page répond une erreur et propose de taper un nouveau code.

Approuver la restauration

Vous avez 15 minutes après la saisie du code. Le portail écrit la limite en haut de la page : « Approuvez avant 14:47 (encore 14 min). »

1. Vérifier la machine du média

Lisez le bloc 1. La machine du média. Il donne l'adresse IP publique du média, la marque et le modèle, le numéro de série, le processeur, la mémoire, le firmware, l'état de Secure Boot, les cartes réseau, la version du média et l'heure de la saisie du code. Le tableau sous ces lignes donne les disques, avec leur nom, leur modèle, leur taille et leur numéro de série.

Comparez ces valeurs avec l'écran du média. Si elles sont différentes, annulez.

2. Choisir l'image

1. Choisissez un Client. Ce champ est facultatif : il limite la liste des machines.
2. Choisissez la Machine.
3. Choisissez l'Image. Le portail liste les images de la machine, de la plus récente à la plus ancienne. Il marque la plus récente Recommandé. Chaque ligne donne la date de l'image, sa taille quand elle est connue, et le début de son identifiant.

Le portail refuse certaines machines :

• « Cette machine n'a pas de politique d'image. Une restauration bare metal n'est pas possible. »
• « Cette machine n'a pas encore d'image réussie. Une restauration bare metal n'est pas possible. »
• « Ce client n'a aucune machine. »

3. Choisir le disque cible et le mode

1. Choisissez le Disque cible. Chaque ligne donne le nom du disque, son modèle et sa taille.
2. Lisez les mentions sous les lignes :
   • Trop petit : l'image fait … : le disque est grisé. Choisissez-en un autre.
   • Disque amovible : vérifiez que ce n'est pas la clé USB du média.
3. Choisissez le Mode :

Mode	Quand l'utiliser
Remplacer la machine source (recommandé)	Cas normal. La machine restaurée garde l'identité de l'agent source. À utiliser seulement quand la machine source ne fonctionne plus.
Cloner	La machine source fonctionne encore. Le média retire l'identité de l'agent du système restauré. Vous devez enrôler de nouveau la machine restaurée.

4. Lire les avertissements, puis confirmer

1. Lisez le bloc 4. Avant de confirmer. Il donne :
   • la restauration efface toutes les données du disque cible, avec son nom, son modèle et sa taille ;
   • Windows : sur un autre matériel, il peut être nécessaire d'activer Windows de nouveau ;
   • BitLocker : les volumes restaurés ne sont pas chiffrés ;
   • contrôleur de domaine : ne restaurez pas un contrôleur de domaine avec cette procédure ;
   • en mode Cloner : deux machines ne doivent pas utiliser la même identité d'agent.
2. Relisez le résumé au-dessus du bouton. Il donne en une phrase le disque effacé, la machine du média, l'image écrite et le mode.
3. Cochez « J'ai vérifié que c'est la bonne machine et que le disque cible peut être effacé. »
4. Tapez le Code de vérification de votre application d'authentification, six chiffres.
5. Cliquez Effacer le disque et restaurer.

Le portail ouvre la session de restauration. Il écrit Confirmez sur l'écran du média et « Sur la machine cible, tapez le nom du disque (sda) pour lancer la restauration. »

Le média affiche alors le plan et demande une seconde confirmation. La suite dépend du système de la machine source : voir Restaurer une machine Windows entière et Restaurer une machine Linux entière.

Quand le formulaire est grisé

Texte du portail	Ce qu'il faut faire
« Seul l'utilisateur qui a tapé le code d'appairage peut approuver cette restauration. Vous pouvez l'annuler. »	Demandez à cette personne d'approuver, ou annulez et tapez un nouveau code.
« Activez la vérification en deux étapes pour approuver une restauration bare metal. »	Ouvrez votre compte et activez la vérification en deux étapes.
« Le délai pour approuver est terminé. Redémarrez le média pour obtenir un nouveau code d'appairage. »	Redémarrez le média et tapez son nouveau code.

Annuler

Le bouton Annuler est en haut de la page, tant que la restauration n'est pas terminée.

Moment	Ce que l'annulation fait
Avant l'approbation	Le média n'obtient aucun accès aux sauvegardes. Pour recommencer, redémarrez le média et tapez son nouveau code d'appairage.
Après l'approbation	Le média s'arrête et n'obtient plus de nouvel accès. Son accès actuel se termine dans 10 minutes au plus. Le disque cible peut être incomplet : lancez une nouvelle restauration.

Tout utilisateur du MSP qui a le droit Restauration bare metal peut annuler, pas seulement celui qui a tapé le code.

Limites et précautions

• Le média ne tourne que sur une machine x86-64. Il n'y a pas de média pour une autre architecture.
• Démarrez le média en mode UEFI. Le média démarre aussi en mode BIOS, mais il ne peut alors pas écrire d'entrée de démarrage UEFI.
• Le média refuse de démarrer la restauration quand une zone d'échange est active, ou quand un tableau RAID ou un volume LVM est déjà monté sur la machine. Il écrit la cause et s'arrête.
• La console du média propose DHCP ou une adresse IPv4 fixe. Elle ne propose pas de proxy, même si le texte du portail en cite un. Le média a besoin d'un accès HTTPS sortant direct.
• Le média utilise l'adresse publique de la plateforme pour lire les données, même quand votre MSP a son propre domaine.
• Un média plus ancien que la version 0.6.1 est refusé. Le média écrit « The instance refused the pairing », avec le code agent_too_old. Téléchargez l'ISO à jour. Voir Versions d'agent minimales par fonction.
• Une même adresse IP ne garde que cinq codes d'appairage en attente à la fois.
• Le code d'appairage vaut 10 minutes. Après la saisie du code, l'approbation vaut 15 minutes.
• Seul l'utilisateur qui a tapé le code peut approuver, et seulement avec un code de vérification en cours.
• Une session de restauration dure 12 heures au plus. Après ce délai, le portail la ferme sans résultat.
• Le portail refuse l'approbation quand le dépôt de la machine source n'est pas prêt, quand une tâche de maintenance exclusive tourne sur ce dépôt, quand l'agent source vient d'être rattaché, ou quand la machine source est en cours de suppression.
• Faites une restauration de test sur une machine virtuelle, une fois par client. Le portail recommande ce test sous les étapes de préparation.

Référence

• La commande du média est dans la référence de la CLI de l'agent.
• Les routes de l'appairage et de l'ISO sont dans la référence de l'API.
• Les versions minimales sont dans Versions d'agent minimales par fonction.