Microsoft assure automatiquement la sauvegarde des bases de données Azure SQL, mais automatique ne signifie pas exhaustif. Selon la documentation Azure de Microsoft, les sauvegardes natives permettent la restauration point-in-time dans une fenêtre configurable pouvant atteindre 35 jours. Elles n’offrent toutefois ni copie indépendante isolée par air-gap, ni sauvegarde immuable capable de renforcer la protection contre un ransomware susceptible de compromettre les données sur l’ensemble de la période de conservation. Pour les entreprises soumises à des exigences de conformité ou confrontées à des cybermenaces sophistiquées, cette limite peut avoir des conséquences importantes.
Azure SQL repose sur trois modèles de déploiement distincts : Azure SQL Database (PaaS), Azure SQL Managed Instance et SQL Server sur VM Azure. Chacun dispose de mécanismes natifs de sauvegarde Azure différents, notamment pour la sauvegarde SQL Server, et présente une exposition au risque de perte de données qui lui est propre. Ce guide présente les options de sauvegarde et restauration pour chaque modèle, explique comment configurer et utiliser la restauration point-in-time (PITR) ainsi que la conservation à long terme (LTR), détaille les méthodes de sauvegarde SQL Server et les limites des mécanismes natifs d’Azure, et montre comment les sauvegardes immuables Rubrik protègent les données Azure et renforcent la cyber-résilience.
La sauvegarde des bases de données Azure SQL est-elle automatique ?
Oui. Azure SQL Database et Azure SQL Managed Instance réalisent automatiquement des sauvegardes par défaut, sans configuration préalable. Azure effectue des sauvegardes complètes chaque semaine, des sauvegardes différentielles toutes les 12 à 24 heures et des sauvegardes des journaux de transactions toutes les 5 à 10 minutes. Par défaut, ces sauvegardes sont stockées dans un stockage géoredondant (GRS), offrant une protection intégrée contre les défaillances régionales.
Cependant, ces mécanismes automatisés de sauvegarde et restauration sont conçus avant tout pour la reprise opérationnelle post-incident, qu’il s’agisse d’une suppression accidentelle, d’une corruption ou d’une perte de données de courte durée. Elles ne sont pas destinées à fournir une protection indépendante contre les ransomwares ou les menaces internes qui agissent à l’intérieur de la période de conservation. Prenons un exemple : si un ransomware chiffre vos bases de données Azure SQL dès le premier jour et que la compromission n’est détectée qu’au quarantième jour, une fenêtre de rétention de 35 jours ne vous offrira plus aucun point de restauration fiable.
Des solutions tierces comme Rubrik fournissent une plateforme dédiée de sauvegarde et restauration Azure SQL, avec notamment des sauvegardes immuables, une visibilité sur les données sensibles, des capacités de détection des menaces et une restauration orchestrée. Pour en savoir plus, découvrez les sauvegardes pour Microsoft Azure Local avec Rubrik.
Modèles de déploiement des sauvegardes Azure SQL et protection Rubrik adaptée à chacun
La stratégie de sauvegarde à adopter dépend du modèle de déploiement Azure SQL que vous utilisez.
Azure SQL Database (PaaS) fournit des mécanismes automatisés de sauvegarde de base de données, avec des options de conservation à court terme (STR) et à long terme (LTR). En revanche, vous n’avez pas accès aux fichiers .bak sous-jacents. Rubrik ajoute une copie de sauvegarde immuable, une conservation à long terme au-delà des limites natives d’Azure, l’analyse des sauvegardes à la recherche d’indicateurs de ransomware et la classification des données sensibles au sein des sauvegardes.
Azure SQL Managed Instance prend en charge les sauvegardes automatisées ainsi que les opérations de restauration SQL natives. Rubrik y ajoute des politiques de sauvegarde centralisées garanties par SLA, une protection inter-régions, une restauration rapide vers un autre serveur ou une autre région, ainsi qu’une sauvegarde immuable à des fins de conformité.
SQL Server sur machine virtuelle Azure offre le niveau de contrôle le plus élevé. Vous pouvez mettre en place une sauvegarde SQL Server avec Azure VM Backup via Recovery Services Vault, effectuer des sauvegardes manuelles via SSMS ou définir des stratégies pour les sauvegardes complètes, différentielles et des journaux de transactions. Rubrik fournit des sauvegardes SQL Server cohérentes avec les applications, une restauration granulaire au niveau des bases de données et des fichiers, Live Mount pour une restauration quasi instantanée, ainsi qu’une protection étendue aux charges de travail hybrides. Découvrez comment Rubrik protège les sauvegardes des bases de données Azure SQL à grande échelle.
Fonctionnalité | Azure SQL Database | Managed Instance | SQL Server on VM Azure |
Sauvegardes automatiques | Oui | Oui | En option |
Export natif au format .bak | Non | Oui | Oui |
Recovery Services Vault | Non | En option | Oui |
Sauvegarde manuelle via SSMS | Non | Oui | Oui |
Comment effectuer une restauration point-in-time (PITR)
La restauration à un instant donné (Point-in-Time Restore, PITR) est une fonctionnalité de sauvegarde et restauration qui permet de restaurer une base de données à la seconde près, dans les limites de la période de conservation configurée. Elle s’appuie sur la combinaison des sauvegardes complètes, différentielles et des journaux de transactions effectuées automatiquement.
Par défaut, la durée de conservation à court terme est de 7 jours, mais elle peut être étendue jusqu’à 35 jours. Pour effectuer une PITR depuis le portail Azure, ouvrez votre base de données SQL, cliquez sur Restaurer, choisissez le point de restauration souhaité, sélectionnez le serveur cible, puis confirmez l’opération. La restauration crée une nouvelle base de données au lieu d’écraser la base d’origine, ce qui permet de conserver l’environnement existant jusqu’à ce que vous soyez prêt à effectuer la transition.
La PITR prend également en charge la restauration vers un autre serveur ou une autre région. Elle peut ainsi servir aussi bien à la reprise d’activité qu’au clonage d’environnements. Remarque : la restauration point-in-time couvre uniquement la période de conservation à court terme (STR) configurée. Si vos exigences réglementaires imposent une conservation plus longue, vous devrez configurer séparément la conservation à long terme (LTR).
Méthodes de sauvegarde manuelle : portail Azure, SSMS et export BACPAC
Avec Azure SQL Database (PaaS), il n’est pas possible d’exécuter une commande BACKUP DATABASE classique vers un disque local : aucun accès direct aux fichiers .bak n’est disponible. L’option manuelle prise en charge est l’export BACPAC, qui capture le schéma et les données de la base dans un format portable adapté à la migration ou à l’archivage, mais pas à la restauration opérationnelle.
Pour effectuer un export depuis le portail Azure, sélectionnez votre base de données, cliquez sur Exporter, configurez un compte de stockage comme destination, puis téléchargez le fichier BACPAC. Pour exporter via SSMS, connectez-vous à votre instance Azure SQL, cliquez avec le bouton droit sur la base de données, puis sélectionnez Tâches → Exporter une application de couche Données avant d’enregistrer le fichier BACPAC. Il est important de noter qu’un export BACPAC n’est pas équivalent à une sauvegarde SQL Server. Il ne capture pas les journaux de transactions et ne permet pas de réaliser une restauration point-in-time.
Pour SQL Server exécuté sur VM Azure, vous disposez en revanche d’un accès complet aux commandes BACKUP DATABASE via SSMS ou aux fonctionnalités de sauvegarde Azure pour SQL Server via Recovery Services Vault, avec prise en charge des sauvegardes complètes, différentielles et des journaux de transactions.
Différences entre la conservation des sauvegardes à court terme et à long terme
La conservation à court terme (STR) permet la restauration point-in-time et couvre la fenêtre de restauration opérationnelle. Elle est configurée par défaut à 7 jours et peut être étendue jusqu’à 35 jours. La conservation à long terme (LTR) conserve des sauvegardes hebdomadaires complètes pendant plusieurs semaines, mois ou années afin de répondre aux exigences de conformité et d’audit qui dépassent la limite de 35 jours imposée par la STR. Selon la documentation Microsoft sur la LTR, les sauvegardes LTR peuvent être conservées jusqu’à 10 ans.
Type de conservation | Cas d’usage | Durée |
STR | Restauration opérationnelle, PITR | Jusqu’à 35 jours |
LTR | Conformité réglementaire, audit | Jusqu’à 10 ans |
Quelles sont les limites des sauvegardes Azure SQL ?
Le système de sauvegarde natif d’Azure SQL est robuste pour les besoins de restauration opérationnelle, mais il présente plusieurs limites importantes en matière de sécurité et de conformité à l’échelle de l’entreprise :
Aucun accès direct aux fichiers .bak pour Azure SQL Database (PaaS)
Limite de conservation STR fixée à 35 jours. Au-delà, la restauration point-in-time n’est plus disponible sans configuration de la LTR
Azure Backup pour SQL Server sur VM Azure limite le nombre d’instances protégées et d’opérations de restauration par abonnement (cf. la documentation Azure sur les limites actuelles)
Absence de sauvegarde immuable indépendante isolée par air-gap. Si une attaque par ransomware demeure active au-delà de la période de conservation sans être détectée, aucun point de restauration sain n’est disponible dans le système natif
Aucune analyse des menaces ni validation de l’intégrité des points de restauration au sein des sauvegardes
Rubrik comble ces lacunes grâce à une copie de sauvegarde immuable indépendante, isolée par air-gap, ainsi qu’à des capacités de sauvegarde et restauration granulaires, de restauration inter-régions et d’analyse des menaces liées aux ransomwares. Vous savez ainsi toujours quelles sauvegardes sont saines avant de lancer une restauration.
Système de sauvegarde automatisé : fonctionnalités natives Azure et Rubrik
Fonctionnalité | Native à Azure | Rubrik |
Sauvegardes automatiques | Oui | Oui |
Sauvegardes isolées par air-gap | Non | Oui |
Verrouillage immuable des durées de conservation | Limité | Oui |
Analyse des menaces | Non | Oui |
Restauration à partir d’un point sain | Non | Oui |
Visibilité multicloud | Non | Oui |
Si la reprise après sinistre traditionnelle protège contre les défaillances matérielles et les suppressions accidentelles, la cyber-restauration impose un niveau d’exigence supérieur en matière de sauvegarde et restauration : une sauvegarde immuable ne pouvant être chiffrée ou supprimée par un attaquant, analyse des menaces permettant d’identifier les sauvegardes saines avant la restauration, et restauration orchestrée vers un environnement Azure isolé afin d’éviter toute réinfection. Rubrik fournit ces trois fonctionnalités à travers une plateforme conçue spécifiquement pour les menaces actuelles.
Les sauvegardes Azure SQL reposent sur une approche à plusieurs niveaux : comprendre le modèle de déploiement utilisé, configurer les paramètres de conservation adaptés et savoir où s’arrêtent les capacités natives d’Azure et où commence la cyber-restauration de niveau entreprise.
Pour les organisations qui ont besoin d’une sauvegarde immuable, d’une analyse des menaces liées aux ransomwares et de capacités de sauvegarde et restauration orchestrées indépendantes des mécanismes natifs d’Azure, Rubrik propose une solution conçue pour les trois modèles de déploiement Azure SQL. Contactez Rubrik pour découvrir son fonctionnement dans votre environnement.