Sauvegarder ses VM avec les tags vSphere et Veeam

1.Le problème des jobs « classiques »

Dans un job Veeam, on choisit souvent les VM une par une, ou par conteneur : un hôte ESXi, un dossier, un datastore. Ça marche… jusqu'au jour où l'infrastructure bouge.

• Une VM ajoutée à la main : chaque nouvelle VM oblige à modifier le job. Un oubli, et elle n'est jamais sauvegardée.
• Un job sur un hôte ESXi : DRS déplace une VM sur un autre hôte avec vMotion, et elle sort du job sans prévenir.
• Un job sur un datastore : une VM dont les disques sont sur deux datastores, présents dans deux jobs, est sauvegardée deux fois.

Ces deux derniers cas sont d'ailleurs cités par Veeam dans ses bonnes pratiques. Les tags règlent le problème : la sélection ne dépend plus de où se trouve la VM, mais de ce qu'elle est.

2.Un tag vSphere, c'est quoi ?

Un tag (tag, « balise » dans la console en français) est une étiquette que vCenter colle sur un objet de l'inventaire : une VM, un hôte, un datastore, un dossier… Chaque tag appartient à une catégorie.

3.Concevoir sa politique de tags

Avant de cliquer, décide ce que chaque tag veut dire. Un bon nom de tag décrit le niveau de service, pas une technique : « Backup-Or » ou « Backup – RPO 4 h » plutôt que « Tag1 ».

4.Créer la catégorie et les tags

Dans le client vSphere

1. Menu → Tags & Custom Attributes → onglet Categories → New.
2. Nom : Sauvegarde. Tags Per Object : One tag. Associable Object Types : coche uniquement Virtual Machine.
3. Onglet Tags → New, une fois pour chaque tag : Backup-Or, Backup-Argent, Backup-Bronze, NoBackup, dans la catégorie Sauvegarde.

Ou en PowerCLI, en 2 lignes

# Catégorie : un seul tag de sauvegarde par VM, uniquement sur des VM
New-TagCategory -Name "Sauvegarde" -Cardinality Single -EntityType VirtualMachine -Description "Politique de sauvegarde Veeam"
"Backup-Or", "Backup-Argent", "Backup-Bronze", "NoBackup" | ForEach-Object { New-Tag -Name $_ -Category "Sauvegarde" }

5.Poser les tags sur les VM

À l'unité : clic droit sur la VM → Tags & Custom Attributes → Assign Tag → choisis le tag. Pour un parc existant, PowerCLI va beaucoup plus vite :

# Récupérer les tags une fois
$Or     = Get-Tag -Name "Backup-Or"     -Category "Sauvegarde"
$Argent = Get-Tag -Name "Backup-Argent" -Category "Sauvegarde"

# Toutes les VM dont le nom commence par SQL
Get-VM -Name "SQL*" | New-TagAssignment -Tag $Or

# Toutes les VM d'un dossier
Get-Folder -Name "Infrastructure" | Get-VM | New-TagAssignment -Tag $Argent

# Changer le niveau d'une VM : retirer l'ancien tag, poser le nouveau
Get-TagAssignment -Entity "ERP-APP01" -Category "Sauvegarde" | Remove-TagAssignment -Confirm:$false
New-TagAssignment -Entity (Get-VM "ERP-APP01") -Tag $Or

# Combien de VM par tag ?
Get-TagAssignment -Category "Sauvegarde" | Group-Object { $_.Tag.Name } | Select-Object Name, Count

6.Construire les jobs Veeam

1. Le vCenter doit être ajouté dans Veeam (Inventory → Add Server → VMware vSphere), pas les ESXi un par un. Son nom complet (FQDN) doit se résoudre en DNS dans les deux sens depuis le serveur Veeam.
2. Crée le job : Home → Backup Job → Virtual machine → VMware vSphere, nomme-le Job-Backup-Or.
3. À l'étape Virtual Machines, clique sur Add. En haut de la fenêtre, change de vue avec le bouton VMs and Tags.
4. Déplie le vCenter puis la catégorie Sauvegarde, sélectionne Backup-Or et valide avec Add.
5. Règle le reste du job selon la politique (rétention, GFS, planification, copie). Répète pour Argent et Bronze.

Ce qui se passe à chaque lancement

Aller plus loin : la combinaison de tags

Avec la vue Tags combination, un job ne prend que les VM qui portent tous les tags choisis. Exemple : une deuxième catégorie « Application » avec un tag SQL. Le job Backup-Or + SQL active la sauvegarde des journaux de transactions, et le job Backup-Or classique exclut le tag SQL. Chaque VM est bien traitée une seule fois, avec les bonnes options.

7.Le filet de sécurité : ne jamais laisser une VM sans tag

C'est le point faible de la méthode : une VM sans tag n'est dans aucun job, et rien ne le signale. Il faut donc deux protections.

Protection 1 : un job « attrape-tout »

Crée un job Job-Filet-Securite qui sélectionne le cluster (ou le datacenter) entier, et ajoute en Exclusions les quatre tags de la catégorie Sauvegarde. Toute VM oubliée est alors sauvegardée avec une politique par défaut, en attendant qu'on lui pose le bon tag. Si ce job sauvegarde quelque chose, c'est qu'il y a une VM à classer.

Protection 2 : un contrôle quotidien

# VM qui n'ont aucun tag de la catégorie Sauvegarde
$Taguees = (Get-TagAssignment -Category "Sauvegarde").Entity.Name
Get-VM | Where-Object { $Taguees -notcontains $_.Name } |
    Select-Object Name, Folder, PowerState, @{ n = 'Cree'; e = { $_.ExtensionData.Config.CreateDate } } |
    Sort-Object Name | Format-Table -AutoSize

Planifie ce script chaque matin et envoie le résultat par mail, ou crée un service de supervision Centreon qui passe en alerte dès qu'une VM sort de la liste. Veeam ONE propose aussi des rapports sur les VM non protégées.

8.Intérêts et inconvénients

9.Les pièges en images

Pour le piège 3, active la sauvegarde du vCenter (sauvegarde par fichiers depuis l'interface VAMI, sur le port 5480), et exporte régulièrement les affectations de tags :

Get-TagAssignment -Category "Sauvegarde" |
    Select-Object @{ n = 'VM'; e = { $_.Entity.Name } }, @{ n = 'Tag'; e = { $_.Tag.Name } } |
    Export-Csv -Path "C:\Scripts\tags-sauvegarde.csv" -NoTypeInformation -Delimiter ";" -Encoding UTF8

10.Checklist de mise en place

• Les niveaux de service sont définis : fréquence, conservation, copie, et quelles VM vont où.
• La catégorie « Sauvegarde » est créée en « One tag », uniquement pour les Virtual Machines.
• Les tags Or, Argent, Bronze et NoBackup sont créés.
• Toutes les VM existantes ont un tag (le script de contrôle ne renvoie rien).
• Le vCenter est ajouté dans Veeam et se résout en DNS dans les deux sens.
• Un job par tag est créé, sélectionné dans la vue « VMs and Tags ».
• Le job attrape-tout est en place, avec les 4 tags en exclusion.
• Le contrôle quotidien des VM sans tag est planifié (mail ou Centreon).
• Le vCenter est sauvegardé, et les tags sont exportés régulièrement.
• Les droits de modification des tags sont limités.
• La procédure de création d'une VM inclut l'étape « poser le tag de sauvegarde ».