Préparer le déploiement de serveurs DPM
Il existe quelques étapes de planification à prendre en compte avant de commencer à déployer vos serveurs System Center Data Protection Manager (DPM) :
Planifier le déploiement du serveur DPM : déterminez le nombre de serveurs DPM dont vous aurez besoin et où les placer.
Planifier les paramètres de pare-feu : obtenez des informations sur le pare-feu, le port et les paramètres de protocole sur le serveur DPM, les machines protégées et un serveur SQL Server distant si vous configurez un seul serveur.
Accorder des autorisations utilisateur : spécifiez qui peut interagir avec DPM.
Planifier le déploiement du serveur DPM
Tout d’abord, déterminez le nombre de serveurs dont vous aurez besoin :
DPM peut protéger jusqu’à 600 volumes. Pour protéger cette taille maximale, DPM a besoin de 120 To par serveur DPM.
Un seul serveur DPM peut protéger jusqu’à 2 000 bases de données (taille de disque recommandée de 80 To).
Un seul serveur DPM peut protéger jusqu’à 3 000 ordinateurs clients et 100 serveurs.
- Pour la planification de la capacité du serveur DPM, vous pouvez utiliser les calculatrices de stockage DPM. Ces calculatrices sont des feuilles Excel et sont spécifiques à la charge de travail. Ils guident le nombre de serveurs DPM requis, de cœur de processeur, de RAM, de recommandations de mémoire virtuelle et de capacité de stockage requise. Étant donné que ces calculatrices sont spécifiques à la charge de travail, vous devez combiner les paramètres recommandés et les prendre en compte avec la configuration système requise et la topologie et les exigences spécifiques de votre entreprise, notamment les emplacements de source de données et de stockage, les exigences de conformité et de contrat sla et les besoins en matière de récupération d’urgence. Notez que les calculatrices ont été publiées pour DPM 2010, mais restent pertinentes pour les versions ultérieures de DPM.
Déterminez ensuite comment localiser les serveurs :
DPM doit être déployé dans un domaine Active Directory (Windows Server 2008 et versions ultérieures).
Lorsque vous décidez où localiser votre serveur DPM, tenez compte de la bande passante réseau entre le serveur DPM et les ordinateurs protégés. Si vous protégez des données sur un réseau étendu (WAN), une bande passante réseau minimale de 512 Ko par seconde (Kbits/s) est requise.
DPM prend en charge les cartes réseau associées. Les NIC associées sont un ensemble de cartes physiques configurées pour être considérées comme une seule carte par le système d'exploitation. Les cartes réseau associées fournissent une bande passante accrue en combinant la bande passante disponible, en utilisant chaque adaptateur et en basculant vers l’adaptateur restant en cas d’échec d’une carte. DPM peut utiliser la bande passante accrue obtenue à l’aide d’une carte associée sur le serveur DPM.
Une autre considération pour l’emplacement de vos serveurs DPM est la nécessité de gérer manuellement les bandes et les bibliothèques de bandes, telles que l’ajout de nouvelles bandes à la bibliothèque ou la suppression de bandes pour une archive hors site.
Un serveur DPM peut protéger les ressources au sein d’un domaine ou entre des domaines au sein d’une forêt qui a une relation d’approbation bidirectionnelle avec le domaine dans lequel se trouve le serveur DPM. S’il n’existe pas d’approbation bidirectionnelle entre les domaines, vous avez besoin d’un serveur DPM distinct pour chaque domaine. Un serveur DPM peut protéger les données entre les forêts s’il existe une approbation bidirectionnelle au niveau de la forêt entre les forêts.
Tenez compte de la bande passante réseau entre le serveur DPM et les ordinateurs protégés. Si vous protégez des données via un réseau étendu, il existe une exigence minimale de bande passante réseau de 512 Kbits/s. Notez que DPM prend en charge les cartes réseau associées qui fournissent une bande passante accrue en combinant la bande passante disponible pour chaque carte réseau et le basculement en cas d’échec d’une carte.
Planifier les paramètres de pare-feu et les autorisations utilisateur
Paramètres du pare-feu
Les paramètres de pare-feu pour le déploiement DPM sont requis sur le serveur DPM, sur les machines que vous souhaitez protéger et sur le serveur SQL Server utilisé pour la base de données DPM si vous l’exécutez à distance. Si le Pare-feu Windows est activé lorsque vous installez DPM, la configuration de DPM configure automatiquement les paramètres de pare-feu sur le serveur DPM. Les paramètres de pare-feu sont résumés dans le tableau suivant.
| Emplacement | Règle | Détails | Protocole | Port |
|---|---|---|---|---|
| Serveur DPM | Paramètre DCOM System Center <version> Data Protection Manager | Utilisé pour la communication DCOM entre le serveur DPM et les machines protégées. | DCOM | 135/TCP dynamique |
| Serveur DPM | System Center <version> Data Protection Manager | Exception pour Msdpm.exe (service DPM). S'exécute sur le serveur DPM. | Tous les protocoles | Tous les ports |
| Serveur DPM Machines protégées |
Agent de réplication System Center <version> Data Protection Manager | Exception pour Dpmra.exe (service agent de protection utilisé pour sauvegarder et restaurer des données). S’exécute sur le serveur DPM et les machines protégées. | Tous les protocoles | Tous les ports |
| Machines protégées | Configurer une exception entrante pour sqserv.exe | |||
| Machines protégées | DPM émet une commande à l’agent de protection avec des appels DCOM à l’agent. Vous devez ouvrir les ports supérieurs (1024-65535) pour que DPM communique. | DCOM | 135/TCP dynamique | |
| Machines protégées | Le canal de données DPM est TCP. Le serveur DPM et les machines protégées initient des connexions. DPM communique avec le coordinateur d’agents sur le port 5718 et avec l’agent de protection sur le port 5719. | TCP | 5718/TCP 5719/TCP |
|
| Machines protégées | Utilisé pour la résolution de noms d’hôte entre l’ordinateur DPM/protégé et le contrôleur de domaine. | DNS | 53/UDP | |
| Machines protégées | Utilisé pour l’authentification du point de terminaison de connexion, entre la machine DPM/protégée et le contrôleur de domaine. | Kerberos | 88/UDP 88/TCP |
|
| Machines protégées | Utilisé pour les requêtes entre le serveur DPM et le contrôleur de domaine. | LDAP | 389/TCP 389/TCP |
|
| Machines protégées | Utilisé pour les opérations diverses entre 1) DPM et les machines protégées, 2) DPM et le contrôleur de domaine 3) Machines protégées et contrôleur de domaine. Également utilisé pour SMB directement hébergé sur TCP/IP pour les fonctions DPM. | NetBIOS | 137/UDP 138/UDP 139/TCP 445/TCP |
|
| Serveur SQL Server distant | Activez TCP/IP pour l’instance DPM de SQL Server avec les éléments suivants : audit d’échec par défaut ; activez la vérification de la stratégie de mot de passe. | |||
| Serveur SQL Server distant | Activez l’exception entrante pour sqservr.exe pour l’instance DPM de SQL Server afin d’autoriser TCP sur le port 80. Le serveur de rapports écoute les requêtes HTTP sur le port 80. | |||
| Serveur SQL Server distant | L’instance par défaut du moteur de base de données écoute sur le port TCP 1443. Peut être modifié. Pour utiliser le service SQL Server Browser pour vous connecter sur un port UDP défini par défaut 1434. |
|||
| Serveur SQL Server distant | L’instance nommée de SQL Server utilise des ports dynamiques par défaut. Peut être modifié. | |||
| Serveur SQL Server distant | Activer RPC |
Attribution des autorisations utilisateur
Avant de commencer un déploiement DPM, vérifiez que les utilisateurs appropriés ont reçu les privilèges requis pour effectuer les différentes tâches. Celles-ci sont récapitulées dans le tableau ci-dessous.
| Tâche DPM | Autorisations nécessaires |
|---|---|
| Ajouter le serveur DPM à un domaine | Compte d’administrateur de domaine ou droit d’utilisateur pour ajouter une station de travail au domaine |
| Installation de DPM | Compte d’administrateur sur le serveur DPM |
| Installer un agent de protection DPM sur un ordinateur que vous souhaitez protéger | Compte de domaine qui se trouve dans le groupe d’administrateurs locaux sur l’ordinateur |
| Étendre le schéma AD pour activer la récupération des utilisateurs finaux | Privilèges d’administrateur de schéma pour le domaine |
| Créer un conteneur AD pour activer la récupération des utilisateurs finaux | Privilèges d’administrateur de domaine |
| Accorder l’autorisation du serveur DPM pour modifier le contenu du conteneur | Privilèges d’administrateur de domaine |
| Activer la récupération des utilisateurs finaux sur le serveur DPM | Compte d’administrateur sur le serveur DPM |
| Installer le logiciel client du point de récupération sur l’ordinateur protégé | Compte d’administrateur sur l’ordinateur |
| Accéder aux versions précédentes des données protégées à partir d’un ordinateur protégé | Compte d’utilisateur ayant accès au partage protégé |
| Récupérer des données SharePoint | Administrateur de batterie de serveurs SharePoint qui est également administrateur sur le serveur web frontal sur lequel l’agent de protection est installé. |
Remarque
Le serveur DPM et l’ordinateur protégé communiquent à l’aide de DCOM. Pendant l’installation de DPMRA, le compte du serveur DPM est ajouté au groupe de sécurité Utilisateurs COM distribués sur l’ordinateur protégé.
Pour la protection du contrôleur de domaine, les groupes de sécurité Active Directory sont créés pour chacun des contrôleurs de domaine protégés, avec les noms DPMRADCOMTRUSTEDMACHINES$DCNAME, DPMRADMTRUSTEDMACHINES$DCNAME et DPMRATRUSTEDDPMRAS$DCNAME.