La reprise apr\u00e8s sinistre avec acc\u00e8s hors bande transforme une panne du noyau survenue \u00e0 deux heures du matin, qui aurait normalement n\u00e9cessit\u00e9 un d\u00e9placement nocturne en voiture, en une simple session sur son propre ordinateur. Le syst\u00e8me d'exploitation ne d\u00e9marre plus, l'administrateur responsable est chez lui, loin du centre de donn\u00e9es, mais il peut n\u00e9anmoins acc\u00e9der au serveur.<\/p>\n
La reprise apr\u00e8s sinistre avec acc\u00e8s hors bande signifie qu'un serveur peut \u00eatre restaur\u00e9 via le BMC, m\u00eame si le syst\u00e8me d'exploitation ne d\u00e9marre plus, par exemple apr\u00e8s un \u00ab kernel panic \u00bb ou une mise \u00e0 jour qui a \u00e9chou\u00e9. La console, Virtual Media et une r\u00e9initialisation du BMC remplacent alors le recours au centre de donn\u00e9es sur site.<\/p>\n<\/div>\n
Deux indicateurs cl\u00e9s d\u00e9finissent tout plan d'urgence. Le \u00ab Recovery Time Objective \u00bb, ou RTO, d\u00e9crit le d\u00e9lai maximal tol\u00e9rable avant la remise en service d'un syst\u00e8me. Le Recovery Point Objective (RPO) d\u00e9signe la perte de donn\u00e9es maximale tol\u00e9rable, mesur\u00e9e en intervalle de temps depuis la derni\u00e8re sauvegarde op\u00e9rationnelle. Ces deux valeurs d\u00e9terminent la rapidit\u00e9 et l'exhaustivit\u00e9 avec lesquelles une restauration doit s'effectuer, et donc aussi quels outils peuvent \u00eatre envisag\u00e9s \u00e0 cette fin.<\/p>\n
Sans acc\u00e8s hors bande, le RTO d\u00e9pend de la disponibilit\u00e9 d'une personne capable de se rendre au centre de donn\u00e9es, ainsi que du temps de trajet lui-m\u00eame. Avec un BMC op\u00e9rationnel, elle ne d\u00e9pend plus que de la rapidit\u00e9 avec laquelle quelqu\u2019un se connecte et conna\u00eet les \u00e9tapes \u00e0 suivre. Cette diff\u00e9rence se fait particuli\u00e8rement sentir aux heures creuses, la nuit, le week-end ou lorsque la personne responsable est en d\u00e9placement.<\/p>\n
Le module \u00ab IT-Grundschutz \u00bb DER.4 Gestion des situations d'urgence<\/a> d\u00e9crit ce que doivent apporter la pr\u00e9vention et la gestion des urgences dans ce contexte, de l'analyse des risques jusqu'\u00e0 la proc\u00e9dure de reprise d'activit\u00e9 rod\u00e9e par des exercices (BSI, Compendium sur la s\u00e9curit\u00e9 informatique de base, \u00e9dition 2023). L\u2019acc\u00e8s hors bande ne remplace pas un plan d\u2019urgence complet, mais constitue un \u00e9l\u00e9ment essentiel qui rend les valeurs de RTO courtes r\u00e9alistes, car il \u00e9limine le facteur \u00ab temps de trajet \u00bb de l\u2019\u00e9quation. Cet article explique comment d\u00e9tecter une panne \u00e0 l'avance gr\u00e2ce aux donn\u00e9es des capteurs et aux alertes, avant m\u00eame que la restauration ne doive commencer. Surveillance mat\u00e9rielle de la flotte : donn\u00e9es des capteurs, alertes, tableaux de bord<\/a>.<\/p>\n Le module BSI consacr\u00e9 \u00e0 la gestion des urgences exige une proc\u00e9dure de reprise des activit\u00e9s bien rod\u00e9e, et pas seulement un manuel d'urgence \u00e9crit.<\/p>\n BSI, Compendium sur la s\u00e9curit\u00e9 informatique de base, \u00e9dition 2023<\/cite><\/div>\n C'est lorsque le syst\u00e8me d'exploitation lui-m\u00eame est \u00e0 l'origine du probl\u00e8me que l'on se rend compte de toute sa valeur. Apr\u00e8s un \u00ab kernel panic \u00bb, une mise \u00e0 jour qui a \u00e9chou\u00e9 ou une partition de d\u00e9marrage endommag\u00e9e, le BMC reste accessible, quel que soit l'\u00e9tat du syst\u00e8me principal. La console permet souvent de visualiser directement l\u2019erreur et, gr\u00e2ce \u00e0 Virtual Media, de monter un syst\u00e8me de secours ou un support d\u2019installation vierge, sans aucun acc\u00e8s physique au serveur.<\/p>\n Si m\u00eame le BMC ne r\u00e9pond plus, il est possible de le r\u00e9initialiser de mani\u00e8re cibl\u00e9e \u00e0 l'aide d'ipmitool, sans que le syst\u00e8me principal ne soit affect\u00e9, car le BMC et le processeur principal sont des composants distincts. L'un des \u00e9l\u00e9ments cl\u00e9s de cette proc\u00e9dure de restauration est la cha\u00eene d'escalade contr\u00f4l\u00e9e, allant de l'arr\u00eat en douceur (Graceful Shutdown) jusqu'au PDU, telle que d\u00e9crite dans l'article Gestion \u00e0 distance de l'alimentation : red\u00e9marrer les serveurs bloqu\u00e9s sans intervention sur site<\/a> d\u00e9crit. Pour automatiser ces processus, il est possible d'int\u00e9grer des interfaces Redfish dans des outils courants tels qu'Ansible ou Terraform, de sorte qu'un script de red\u00e9marrage ex\u00e9cute les m\u00eames \u00e9tapes que celles indiqu\u00e9es dans le manuel d'urgence, au lieu de les saisir manuellement \u00e0 chaque fois. Les ressources d\u2019alimentation et de d\u00e9marrage n\u00e9cessaires \u00e0 cet effet sont d\u00e9crites dans la Sp\u00e9cification Redfish de la DMTF<\/a> ind\u00e9pendamment du fabricant, ce qui permet de r\u00e9utiliser les scripts sur diff\u00e9rents mod\u00e8les de serveurs.<\/p>\n Un manuel d'urgence qui ne mentionne pas l'acc\u00e8s hors bande ne tire pas parti de l'option de restauration la plus rapide disponible. Il doit inclure les adresses IP des BMC, la proc\u00e9dure d'acc\u00e8s via le serveur de saut et les \u00e9tapes concr\u00e8tes \u00e0 suivre pour les sc\u00e9narios de panne les plus courants, allant de l'arr\u00eat en douceur (Graceful Shutdown) \u00e0 la r\u00e9installation via Virtual Media. Il est \u00e9galement important de pr\u00e9ciser qui est habilit\u00e9, en cas d\u2019urgence, \u00e0 d\u00e9cider du niveau de restauration \u00e0 mettre en \u0153uvre. En l\u2019absence d\u2019une personne clairement d\u00e9sign\u00e9e ou d\u2019un rempla\u00e7ant, un retard survient souvent dans une situation critique, car plusieurs intervenants attendent une autorisation que personne ne donne concr\u00e8tement. Le manuel d\u2019urgence d\u00e9finit donc ce pouvoir de d\u00e9cision de mani\u00e8re aussi pr\u00e9cise que les voies d\u2019acc\u00e8s techniques elles-m\u00eames. Les listes de contacts deviennent obsol\u00e8tes plus rapidement que ne le pr\u00e9voient la plupart des \u00e9quipes d\u00e8s lors que personne ne les met \u00e0 jour apr\u00e8s un changement de personnel. Une br\u00e8ve v\u00e9rification lors de chaque exercice permet de maintenir de mani\u00e8re fiable \u00e0 jour les noms, num\u00e9ros de t\u00e9l\u00e9phone et rempla\u00e7ants.<\/p>\n En cas de panne totale du r\u00e9seau principal, il faut disposer d'une deuxi\u00e8me voie d'acc\u00e8s au r\u00e9seau de gestion, ind\u00e9pendante de la liaison montante habituelle. Sans cette redondance, m\u00eame le meilleur BMC ne sert \u00e0 rien si c'est justement la connexion qui y m\u00e8ne qui fait d\u00e9faut. Les identifiants d'acc\u00e8s eux-m\u00eames doivent \u00eatre conserv\u00e9s en dehors des syst\u00e8mes concern\u00e9s, par exemple dans un coffre-fort physique ou dans un syst\u00e8me de gestion des mots de passe distinct, qui ne se trouve pas sur les m\u00eames serveurs que ceux qui sont justement inaccessibles en cas d'urgence. Un manuel d\u2019urgence qui se trouve uniquement sur le serveur de fichiers en panne est justement inutile au moment o\u00f9 on en a besoin.<\/p>\n Seule une restauration r\u00e9ellement effectu\u00e9e via Virtual Media permet de v\u00e9rifier si l'image de secours enregistr\u00e9e est encore \u00e0 jour, si les identifiants document\u00e9s sont corrects et si les \u00e9tapes d\u00e9crites fonctionnent dans la pratique ou ne sont qu'une belle th\u00e9orie sur le papier. Un tel exercice ne n\u00e9cessite pas d\u2019interrompre l\u2019ensemble des op\u00e9rations. Il suffit, dans une fen\u00eatre de test, de r\u00e9initialiser de mani\u00e8re cibl\u00e9e un serveur non critique via Virtual Media et d\u2019ex\u00e9cuter chaque \u00e9tape telle qu\u2019elle est d\u00e9crite dans le manuel, y compris les identifiants d\u2019acc\u00e8s et les moyens de contact qui y sont indiqu\u00e9s. En documentant cet exercice avec la date et les lacunes identifi\u00e9es, on rend visibles les progr\u00e8s r\u00e9alis\u00e9s au fil des diff\u00e9rents cycles, au lieu de repartir de z\u00e9ro \u00e0 chaque fois.<\/p>\n La fr\u00e9quence \u00e0 laquelle cet exercice doit \u00eatre r\u00e9alis\u00e9 d\u00e9pend du niveau de criticit\u00e9 des syst\u00e8mes concern\u00e9s. Un exercice annuel constitue le minimum requis ; pour les syst\u00e8mes particuli\u00e8rement critiques, il est recommand\u00e9 de le r\u00e9aliser \u00e0 des intervalles plus courts.<\/p>\n Int\u00e9grer de mani\u00e8re r\u00e9aliste le RTO dans son propre plan d'urgence<\/b> Nous contacter<\/a>\n<\/div>\n Les voies d'acc\u00e8s \u00e0 tous les BMC, les \u00e9tapes document\u00e9es pour les sc\u00e9narios de panne les plus courants et une deuxi\u00e8me voie d'acc\u00e8s en cas de panne du r\u00e9seau principal. Il est tout aussi important de d\u00e9signer des interlocuteurs avec un syst\u00e8me de remplacement, afin que le plan ne soit pas compromis par l'absence d'une seule personne.<\/p>\n En dehors des syst\u00e8mes cens\u00e9s les prot\u00e9ger, par exemple dans un coffre-fort physique ou dans un syst\u00e8me de gestion des mots de passe distinct, h\u00e9berg\u00e9 sur une infrastructure propre. Si les identifiants se trouvent uniquement sur un serveur de fichiers qui, en cas d'urgence, pourrait lui-m\u00eame \u00eatre affect\u00e9, l'acc\u00e8s est justement bloqu\u00e9 au moment o\u00f9 on en a besoin.<\/p>\n Au moins une fois par an, voire plus souvent pour les syst\u00e8mes critiques. Chaque exercice permet de d\u00e9tecter les images obsol\u00e8tes, les identifiants erron\u00e9s ou les processus interrompus, qui passent inaper\u00e7us lors de la simple r\u00e9daction du manuel d'urgence.<\/p>\n torck d\u00e9veloppe son propre logiciel sp\u00e9cialement pour ce type de situation d'urgence et teste r\u00e9guli\u00e8rement les proc\u00e9dures de restauration via Virtual Media sur sa propre infrastructure \u00e0 Maxh\u00fctte-Haidhof, Vienne et Rabat, avant que les clients ne s'y fient. Cette exp\u00e9rience est mise \u00e0 profit dans KVM Fleet<\/a> comme base pour l'automatisation des \u00e9tapes de restauration. Le partenaire contractuel est la soci\u00e9t\u00e9 allemande torck GmbH : un contrat unique remplace une cha\u00eene de sous-traitants, avec une direction de projet germanophone et un fuseau horaire commun aux trois sites. Si vous souhaitez compl\u00e9ter votre propre manuel d\u2019urgence par un acc\u00e8s hors bande, n\u2019h\u00e9sitez pas \u00e0 prendre rendez-vous pour un premier entretien.<\/p>\nLa reprise apr\u00e8s sinistre avec acc\u00e8s hors bande : mise en pratique<\/h2>\n
\n
\n \nSc\u00e9nario<\/th>\n Avec acc\u00e8s hors bande<\/th>\n Sans acc\u00e8s hors bande<\/th>\n<\/tr>\n<\/thead>\n \n Panic du noyau<\/th>\n Affichage des erreurs sur la console, red\u00e9marrage via le BMC<\/td>\n Itin\u00e9raire pour se rendre au centre de donn\u00e9es<\/td>\n<\/tr>\n \n Mise \u00e0 jour \u00e9chou\u00e9e<\/th>\n Int\u00e9grer le syst\u00e8me de secours via Virtual Media<\/td>\n D\u00e9marrage \u00e0 l'aide du support d'installation<\/td>\n<\/tr>\n \n Partition \u00ab Boot \u00bb endommag\u00e9e<\/th>\n R\u00e9installation via un support virtuel<\/td>\n Itin\u00e9raire pour se rendre au centre de donn\u00e9es<\/td>\n<\/tr>\n \n BMC ne r\u00e9agit pas<\/th>\n R\u00e9initialisation cibl\u00e9e via ipmitool<\/td>\n Itin\u00e9raire pour se rendre au centre de donn\u00e9es<\/td>\n<\/tr>\n \n Bloc d'alimentation d\u00e9fectueux<\/th>\n Impossible \u00e0 r\u00e9soudre<\/td>\n Itin\u00e9raire dans tous les cas<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Ce qui doit figurer dans le manuel d'urgence<\/h2>\n
Pourquoi la reprise apr\u00e8s sinistre ne fonctionne pas sans entra\u00eenement<\/h2>\n
\nEn l'absence d'acc\u00e8s hors bande, c'est le temps de trajet jusqu'au centre de donn\u00e9es qui d\u00e9termine le RTO. Quiconque souhaite exclure ce facteur de son propre plan d'urgence se rendra rapidement compte qu'il manque encore une proc\u00e9dure de red\u00e9marrage bien rod\u00e9e.<\/p>\nFoire aux questions<\/h2>\n
Que doit contenir un manuel d'urgence ?<\/h3>\n
O\u00f9 enregistre-t-on les identifiants d'acc\u00e8s \u00e0 BMC ?<\/h3>\n
\u00c0 quelle fr\u00e9quence faut-il s'entra\u00eener \u00e0 r\u00e9agir en cas d'urgence ?<\/h3>\n