Veeam Backup for Microsoft 365 : déploiement pas à pas (architecture, stockage immuable, restauration)

La réponse courte : un déploiement réussi de Veeam Backup for Microsoft 365 se joue moins à l’installation qu’aux décisions prises avant. Où seront stockées les données ? Pour combien de temps ? Avec quelle immuabilité ? Deux de ces choix ne pourront plus être changés sur le dépôt concerné : le type de rétention et l’immuabilité. L’installation elle-même suit un ordre simple : serveur et proxy, base PostgreSQL, organisation Microsoft 365, dépôt objet, tâches de sauvegarde, puis test de restauration.

Chez ALLSAFE SOLUTIONS, partenaire Veeam au Maroc, nous déployons et supervisons cet outil depuis Casablanca. Les chiffres et limites de ce guide proviennent du guide utilisateur Veeam de la version 8 (build 8.6 lors de notre consultation en novembre 2026), du guide de bonnes pratiques et de la politique de licence de l’éditeur. Vérifiez-les sur la documentation de la version que vous installez. Si vous hésitez encore sur l’utilité d’une telle sauvegarde, commencez par la responsabilité partagée de Microsoft 365.

Ce que l’outil protège, et ce qu’il laisse de côté

Le périmètre se vérifie avant l’achat : plusieurs données que l’on croit couvertes ne le sont pas.

Service	Sauvegardé	Non sauvegardé (selon le guide Veeam)
Exchange Online	Boîtes utilisateur, partagées, d’archive, dossiers publics sous IPM_SUBTREE	Permissions de partage des dossiers et du calendrier
OneDrive et SharePoint	Comptes OneDrive, sites, bibliothèques	Corbeille, listes externes, sites archivés, sites créés par Loop, étiquettes de confidentialité
Teams	Équipes, canaux, publications, certains onglets	Conversations individuelles et de groupe, appels, contacts, détails des réunions

Deux points à signaler dès le cadrage. Les blocs-notes OneNote de plus de 2 Go ne sont pas garantis, et l’authentification app-only exclut la restauration OneNote selon l’article KB3146 de Veeam. L’annuaire Entra ID, lui, relève d’une autre ligne dans la politique de licence Veeam : prévoyez sa protection à part si la perte de vos identités et stratégies d’accès vous inquiète.

Les briques de l’architecture

Composant	Rôle	À retenir
Serveur de sauvegarde	Pilote l’infrastructure et les tâches	Windows uniquement
Proxy de sauvegarde	Réalise les lectures et écritures	Windows ou Linux ; plusieurs possibles
Pool de proxys	Regroupe plusieurs proxys	Communication assurée par NATS
PostgreSQL	Base de configuration centralisée, cache des dépôts objet	Local ou distant ; SSD recommandé
Dépôt objet	Stocke sauvegardes et copies	Seul type accepté pour les copies et l’immuabilité
Dépôt JET	Stocke les sauvegardes sur disque	Local, DAS, SAN ou NAS SMB
Veeam Explorers	Parcourent et restaurent les données	Fournis sans licence distincte

Pour une PME, le serveur et un proxy peuvent démarrer sur une même machine virtuelle. Veeam recommande toutefois d’installer les composants tiers (PostgreSQL, NATS) sur d’autres machines, et une instance PostgreSQL dédiée. Cette séparation devient utile dès que le volume d’objets augmente.

Les prérequis à réunir avant l’installation

Élément	Exigence publiée par Veeam (version 8)
Serveur de sauvegarde	8 cœurs, 16 Go de mémoire (32 Go avec mémoire dynamique), 3 Go pour le produit
Proxy	4 cœurs, 16 Go de mémoire (32 Go avec mémoire dynamique)
Système Windows	Windows Server 2016, 2019, 2022 ou 2025 ; Windows 10 et 11 selon les versions listées
Proxy Linux	RHEL 8.8 à 9.6 et Ubuntu 20.04, 22.04 ou 24.04 LTS, selon la liste de l’éditeur
Base de données	PostgreSQL 15 (15.9 ou plus) ou 16 (16.4 ou plus) ; SSD d’au moins 5 000 IOPS recommandé
Composants logiciels	Runtime .NET 8.0, .NET Framework 4.7.2 ; PowerShell 7.4.2 ou plus pour l’usage PowerShell
Ports	9193 (proxy et serveur), 4222 (NATS), 5432 (PostgreSQL), 9191 (REST et PowerShell), 9194 (Explorers et portail), 443 (cloud)

Côté dimensionnement, le guide de bonnes pratiques raisonne en objets plutôt qu’en téraoctets. Un proxy de 8 cœurs et 32 Go doit pouvoir traiter 20 000 objets. L’éditeur indique un débit de 8 Mo/s par cœur pour Exchange et de 5 Mo/s par cœur pour SharePoint, et rappelle une limite de sortie Microsoft de 400 Go par heure. Il précise aussi que deux proxys de 4 cœurs et 16 Go sont plus efficaces qu’un seul de 8 cœurs et 32 Go. Pour estimer le volume, utilisez le calculateur officiel de Veeam plutôt qu’une règle empirique.

Le déploiement, dans l’ordre

1. Préparer le tenant. Nettoyez les comptes inutiles, recensez les boîtes partagées et vérifiez la sécurité de l’administration, avec les 10 réglages à faire sur Microsoft 365.
2. Installer le serveur. L’assistant contrôle les prérequis, demande l’emplacement des données et la configuration de PostgreSQL et de NATS. Sans base préparée, il installe PostgreSQL localement.
3. Ajouter un proxy si le serveur ne joue pas ce rôle, puis un pool si vous en utilisez plusieurs.
4. Déclarer l’organisation. Connecté avec un compte administrateur général, l’assistant crée une application Entra ou en reprend une existante. En version 8, l’authentification moderne app-only est la seule option pour ajouter une organisation Microsoft 365.
5. Vérifier les autorisations : Microsoft Graph, Exchange (full_access_as_app, Exchange.ManageAsApp) et SharePoint (Sites.FullControl.All). Le rôle de lecteur général sert à reconnaître correctement les boîtes partagées.
6. Créer le dépôt objet, avec l’immuabilité et le type de rétention arrêtés au préalable.
7. Créer les tâches de sauvegarde, en commençant par un petit lot pilote, puis élargir.
8. Ajouter une tâche de copie vers un second dépôt objet.
9. Raccorder les alertes à votre supervision et restaurer réellement des données.

Choisir le dépôt : objet plutôt que JET

Veeam accepte Amazon S3, les stockages compatibles S3, Azure Blob, IBM Cloud Object Storage et Wasabi comme dépôts objet. Le guide de bonnes pratiques recommande le stockage objet et déconseille les partages SMB, dont le guide annonce d’ailleurs l’abandon futur.

Le choix du dépôt objet a trois conséquences concrètes :

• La copie de sauvegarde l’impose. La source et la cible d’une copie doivent être des dépôts objet, utiliser le même proxy ou pool et le même type de rétention.
• Les classes d’archivage sont réservées aux copies. S3 Glacier et Azure Blob Archive ne sont pas pris en charge pour la sauvegarde directe.
• Le retour en arrière n’existe pas. Les données peuvent passer d’un dépôt JET vers un dépôt objet, pas l’inverse.

Le lieu d’hébergement mérite aussi une décision écrite. Si le dépôt se trouve hors du Maroc, regardez ce que cela implique dans notre guide sur le transfert de données hors du Maroc et la CNDP. Pour un dépôt sur site, assurez-vous qu’une copie reste hors du site, selon la règle 3-2-1 et la sauvegarde immuable.

Rétention et immuabilité : les deux réglages définitifs

Le type de rétention se fixe au niveau du dépôt et ne peut plus être modifié ensuite :

Type	Fonctionnement	Convient plutôt à
Par instantané (snapshot-based)	Conserve l’état d’un élément tant qu’un point de restauration couvert par la rétention le contient	Retrouver l’état complet d’une boîte à une date donnée
Par élément (item-level)	Supprime un élément quand sa date de création ou de dernière modification dépasse la période	Durée de conservation calculée sur l’âge de chaque élément

L’immuabilité est disponible sur Amazon S3, S3 Glacier, les stockages compatibles S3 et Azure Blob. Elle s’applique aux sauvegardes comme aux copies. Quelques règles à connaître avant de cocher la case :

• Elle s’active à l’ajout du dépôt, jamais après, et ne se désactive plus.
• Sur S3, le verrouillage d’objet et le versionnage doivent être actifs dès la création du bucket.
• La durée suit soit un nombre de jours choisi, soit la période de rétention du dépôt.
• Le mode conformité est proposé par défaut ; le mode gouvernance reste une option.
• En rétention par instantané, Veeam ajoute automatiquement 10 jours pour les sauvegardes et 30 jours pour les copies. Ces données occupent donc l’espace plus longtemps : intégrez-le dans le budget de stockage.

Veeam documente également un chiffrement AES 256 bits des données. Conservez le mot de passe de chiffrement dans un coffre distinct, consultable même si l’environnement de sauvegarde est indisponible.

Planification et première sauvegarde

L’assistant propose une exécution quotidienne à heure fixe ou périodique, toutes les N minutes ou heures. Une fenêtre de sauvegarde peut interrompre une tâche qui la dépasse, et une grille permet de décaler les départs dans l’heure pour éviter que plusieurs tâches ne démarrent ensemble. Les nouvelles tentatives sur les objets en échec se règlent séparément.

La limitation de débit de Microsoft (throttling) touche surtout la première sauvegarde complète. Elle se reconnaît aux erreurs HTTP 500 ou 429, à rechercher dans les journaux sous C:\ProgramData\Veeam\Backup365\Logs. Pour Exchange Online, le guide de bonnes pratiques signale une levée temporaire possible des limites par boîte via l’aide en libre-service de Microsoft 365, jusqu’à 90 jours. Sur un lien internet modeste, commencez par lots et faites tourner la première sauvegarde hors des heures de bureau.

Restauration : Explorers et portail

Les Veeam Explorers pour Exchange, SharePoint, OneDrive et Teams sont fournis avec le produit. Côté Exchange, ils permettent notamment d’envoyer un élément par e-mail, vers la boîte d’origine ou un autre destinataire, et d’exporter des données. Le portail de restauration en libre-service exige sa propre application Entra et s’active dans les options générales. Veeam prévoit une installation REST et une application distinctes par région Entra, si vos organisations sont réparties sur plusieurs régions.

Une sauvegarde n’est validée qu’après une restauration réussie. Testez au minimum un e-mail, un fichier OneDrive, un fichier SharePoint et une publication Teams, puis consignez le résultat avec notre méthode de test de restauration.

Licences : ce qu’il faut compter

• Unité : par compte utilisateur, avec un minimum de 10 utilisateurs, en abonnement ou en location selon la politique Veeam.
• Sans licence : boîtes partagées, de ressources et de groupe, utilisateurs SharePoint externes. Le guide précise qu’une boîte partagée licenciée dans Microsoft 365 consomme une unité.
• Consommation : une unité n’est décomptée que si l’objet a un point de restauration des 31 derniers jours. Les restaurations n’en consomment pas.
• Community Edition : jusqu’à 10 comptes, 1 To de SharePoint et 10 équipes, utile pour un essai.

Veeam Backup for Microsoft 365 s’achète séparément de Veeam Data Platform, comme nous l’expliquons dans notre guide d’achat Veeam au Maroc. ALLSAFE SOLUTIONS fournit ces licences aux entreprises, avec ou sans installation.

Les erreurs que nous rencontrons le plus

1. Choisir la rétention par réflexe, sans savoir qu’elle ne changera plus sur ce dépôt.
2. Oublier l’immuabilité à la création du bucket ou du dépôt.
3. Promettre la sauvegarde de « tout Teams », alors que les conversations privées sont hors périmètre.
4. Mettre le serveur de sauvegarde dans le même domaine d’administration que les comptes qu’il protège, sans séparation ni MFA. Nos réglages Veeam essentiels détaillent cette séparation.
5. Lancer tout le tenant d’un coup, puis interpréter le throttling comme une panne.
6. Ne jamais restaurer, et découvrir un dépôt ou un mot de passe inutilisable le jour de l’incident.

Checklist de mise en production

• Comptes, boîtes partagées et sites SharePoint recensés.
• Rétention légale et métier écrite, type de rétention choisi.
• Serveur, proxy et PostgreSQL dimensionnés sur le nombre d’objets.
• Application Entra créée, autorisations vérifiées, compte administrateur protégé par MFA.
• Dépôt objet immuable et copie vers un second dépôt.
• Mot de passe de chiffrement conservé hors de l’environnement de sauvegarde.
• Fenêtres et tentatives de sauvegarde réglées, alertes raccordées.
• Restaurations de test réalisées et consignées.

Comment nous procédons

Nous commençons par un audit initial offert : tenant, volumes, données critiques et contraintes de conservation. Nous fixons ensuite avec vous la rétention, l’immuabilité et le lieu de stockage, avant de déployer l’infrastructure et de réaliser une première restauration devant vous. Les sauvegardes entrent ensuite dans notre supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes.

Ce déploiement s’intègre à notre offre de sauvegarde et continuité d’activité et à notre cloud managé Microsoft 365, en complément de notre accompagnement de partenaire Microsoft. Consultez nos réalisations, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.