Configurer Sophos Backup & Recovery M365 et vérifier une restauration

Sophos Backup and Recovery M365 est une offre cloud de sauvegarde et de restauration reposant sur Rubrik pour Exchange, OneDrive, SharePoint et Teams. L’entrée dans Sophos Fusion (anciennement Sophos Central) est My Products > Backup and Recovery M365 ; la configuration et la restauration se font dans le portail Rubrik Security Cloud. Une licence activée ou une redirection réussie ne signifie pas encore que les données prévues sont sauvegardées.

L’ordre sûr consiste à vérifier droits et tenant, connecter Microsoft 365 à Rubrik, affecter des politiques via une SLA Domain, contrôler les sauvegardes réussies et valider une restauration limitée. Le parcours ci-dessous suit l’aide administrateur Sophos du 27 mai 2026, relue le 27 octobre 2026. Il décrit le modèle hébergé par Rubrik et un exemple Exchange, pas une procédure universelle pour toutes les charges M365.

Clarifier mission, tenant et droits avant de commencer

Consigner l’organisation Microsoft 365, les utilisateurs et les charges à protéger. Les responsables confirment le tenant Sophos Fusion, l’abonnement commandé et l’état de provisionnement. Sophos M365 Backup and Recovery ne prend pas en charge Enterprise Master Licensing. Ses licences ne peuvent pas être partagées entre les Sub-Estates ; plusieurs tenants clients nécessitent chacun des licences distinctes. Les modalités de licence et l’affectation des organisations/abonnements Microsoft 365 prévus sont confirmées séparément avant la commande. Voir Enterprise Master Licensing.

Un compte administrateur Microsoft 365 doté des droits nécessaires à la connexion est également requis. L’instruction générale Sophos ne précise aucun rôle minimal universel. Avant le consentement, clarifier les autorisations réellement demandées, les applications concernées et la personne qui approuve. Les droits administrateur Sophos ne remplacent pas ceux de Microsoft.

La planification doit aussi préciser région des données, conservation, perte de données admissible et délai de restauration dans le ticket de changement. Ces deux derniers paramètres sont souvent nommés RPO et RTO : quel âge maximal peut avoir la copie restaurée et combien de temps le service peut-il rester indisponible ? La sauvegarde ne remplace pas une solution d’archivage, d’eDiscovery ou de legal hold requise séparément.

Confirmer les conditions commerciales avant commande : vérifier quantité minimale, stockage inclus, durée, extensions et disponibilité des essais ou du MSP dans l’offre actuelle. D’anciennes conditions de lancement ne garantissent pas les conditions présentes. L’analyse de Sophos Backup & Recovery avec Rubrik traite l’achat et l’architecture ; ce guide se concentre sur l’installation et les preuves.

1. Connecter l’abonnement Microsoft 365 à Rubrik

1. Dans Sophos Fusion, ouvrir My Products > Backup and Recovery M365. Après redirection, vérifier l’organisation Rubrik et choisir Inventory > SaaS > Microsoft 365 > Add Subscription.
2. Continuer avec Next dans Microsoft 365 Setup. Sous Grant Rubrik Access to Azure, saisir dans Microsoft Entra Domain le domaine du tenant Entra prévu, disponible dans son aperçu Entra. Sign in to Azure ouvre la connexion ; sélectionner ensuite Add Subscription. Arrêter si le tenant est inattendu ou le consentement mal défini.
3. Définir le placement des données dans Azure Configuration. Sophos recommande Store data in its original geographic regions ; choisir également l’emplacement central. Vérifier ce réglage selon sa propre stratégie de résidence, sans y voir une validation de toutes les exigences de confidentialité.
4. Rubrik génère par défaut une clé Azure. Use your own Azure key est une option distincte avec Azure Tenant ID, Azure Key Vault ID et Azure Key Name. N’utiliser sa propre clé qu’avec exploitation, accès et récupération maîtrisés. Ce guide ne justifie aucun remplacement préventif des clés existantes. Poursuivre l’étape avec Add Subscription.
5. Sous Authorize Access to Microsoft 365, effectuer les connexions prévues pour Exchange, OneDrive, SharePoint et Teams. Sous Grant Access to Microsoft Management App, accorder l’accès via Sign in to Microsoft 365 Management app. Vérifier chaque fois droits affichés et tenant, puis terminer Add Subscription.

Un abonnement connecté constitue d’abord une preuve d’intégration. La protection des données dépend aussi du périmètre, de l’affectation SLA et des sauvegardes réussies. Répéter le consentement pour toutes les applications ne corrige pas un problème d’une seule charge ; isoler d’abord l’étape et son message.

2. Affecter une SLA Domain adaptée

Une SLA Domain définit la politique de sauvegarde, notamment fréquence et conservation. Ce n’est pas simplement le domaine de messagerie ni une garantie de temps de restauration.

Sous Inventory > SaaS > Microsoft 365, cliquer sur Assign SLA Domain. Dans Manage Protection, choisir les applications Microsoft 365 prévues et poursuivre avec Next. Sous Assign an SLA Domain, sélectionner une politique existante adaptée. Sophos documente ces valeurs par défaut :

L’offre générale mentionne jusqu’à dix ans de conservation et des sauvegardes immuables. Cela ne signifie pas qu’un profil par défaut configure déjà dix ans ou l’immutabilité souhaitée. Pour d’autres valeurs, prévoir une Custom SLA Domain selon l’aide Rubrik actuelle et vérifier droits et configuration effectifs. Les noms des profils ne sont pas une recommandation pour chaque client.

Après Next, contrôler tout le périmètre et la politique dans Confirmation, puis seulement choisir Assign. Pour le premier pilote, vérifier les objets de test et leur protection dans le portail ; sélectionner des applications dans l’assistant ne prouve pas une granularité de pilote arbitrairement fine.

3. Prouver les sauvegardes avant d’avoir besoin d’une restauration

Choisir une boîte de test autorisée et y créer un message inoffensif clairement nommé, par exemple Backup-Pilot-2026-10-27. Il ne contient ni identifiants ni données d’entreprise ou de clients. Consigner d’abord la fenêtre de sauvegarde et le point de restauration attendus.

Contrôler ensuite dans Rubrik l’abonnement prévu, le périmètre, la SLA Domain affectée et l’exécution réussie de la sauvegarde. Seul un snapshot disponible contenant l’objet attendu permet la preuve de restauration ci-dessous. Une intégration verte, une SLA configurée ou une ancienne sauvegarde ne prouve pas que le nouveau message a été capturé.

4. Effectuer une restauration Exchange limitée

Restaurer écrit des données ou crée un export. Destination, périmètre et autorisation doivent donc être établis avant le dernier Recover. Une boîte de test convient au pilote ; ne pas restaurer une boîte de production sur place par précaution.

1. Ouvrir Inventory > SaaS > Microsoft 365. Sous Selected Subscription, choisir l’abonnement confirmé et cliquer sur Enter Subscription.
2. Sélectionner Exchange dans Data Source. Dans Username, choisir la personne de test autorisée et, dans Snapshots, une heure appropriée du calendrier.
3. Ouvrir le snapshot avec Recover. Dans Exchange Recovery, choisir Mailbox, puis Next pour les dossiers ou messages. Ne sélectionner que le message de test convenu ; utiliser la recherche si nécessaire.
4. Choisir délibérément le mode de restauration. Restore to original user utilise la personne d’origine ; Restore to another user, une autre personne. Download from Cloud génère un ZIP contenant un ou plusieurs PST ; Recover to a different subscription concerne un autre contexte de tenant/abonnement. Ces variantes nécessitent des autorisations différentes et ne sont pas des options de test interchangeables.
5. Dans la suite documentée, choisir In-place recovery ou Recover to a new folder. Pour le test limité, utiliser un nouveau dossier dans la destination confirmée, si le parcours choisi le propose. Selon l’aide, Recover to a new folder reste dans la région d’origine. Revérifier destination, région et périmètre avant Next.
6. Contrôler le récapitulatif, puis confirmer Recover. Vérifier fin du job et messages dans le portail. Avec la personne responsable du test, vérifier ensuite que le message attendu est lisible au bon endroit. Comparer objet, contenu et éventuelle pièce jointe à l’original.

Le rapport de validation contient heure du snapshot, ID ou référence traçable du job, objets source et cible, périmètre, résultat et durée mesurée. Restaurer un seul message ne valide pas une boîte complète, un site SharePoint ou une structure Teams. Prévoir des tests représentatifs distincts.

Pour les fichiers OneDrive, les contenus SharePoint et les données Teams, Préparer et valider une restauration M365 pour d’autres charges aide à délimiter source, cible et gestion des conflits, avec trois scénarios de test distincts. Avant la restauration, confirmer les droits et les snapshots adaptés à chaque charge.

Une restauration terminée n’a pas de bouton d’annulation universel. Après vérification, nettoyer dossiers de test supplémentaires, objets restaurés ou exports PST uniquement dans le périmètre et selon la conservation convenus. Ne pas supprimer des messages de production ou snapshots comme prétendu retour arrière.

En cas d’échec de connexion, sauvegarde ou restauration

Après expiration de session, Rubrik rouvre la connexion Fusion : Sophos répertorie PHISH-11524 dans les problèmes connus consultés le 27 octobre 2026. Il s’agit d’une session SSO Rubrik expirée alors que la session Fusion reste valide. Le contournement temporaire documenté consiste à se reconnecter à Sophos Fusion puis à relancer le SSO Rubrik. Ce n’est pas un correctif permanent ni un motif pour supprimer l’abonnement ou élargir les droits.

L’abonnement est connecté mais les snapshots attendus manquent : vérifier séparément tenant, charge, périmètre réellement protégé, affectation SLA, heure de sauvegarde et erreur précise. Des sauvegardes réussies d’un autre abonnement ne constituent pas une preuve de substitution.

La restauration ne donne aucun résultat exploitable : comparer personne source, heure du snapshot, message sélectionné, cible et message du job au ticket. Ne pas relancer répétitivement la même écriture tant que son résultat reste incertain. Déterminer d’abord si les données ont déjà été restaurées.

Pour l’aide détaillée, ouvrir l’icône Help du portail Rubrik et rechercher le titre exact, par exemple Setting up a Microsoft 365 subscription for Rubrik hosting ou Recovering email messages to the original location. Sophos précise que les liens d’aide directs peuvent d’abord demander une connexion. Rester dans le parcours autorisé du portail ; cet article ne suppose ni connexion supplémentaire ni élévation de droits.

En escalade, fournir abonnement, charge, date avec fuseau, étape, erreur expurgée et référence connue du job. Tokens, clés, contenu PST et messages confidentiels ne doivent pas figurer dans une description publique. Utiliser le ticket et le canal de transfert confirmés selon Préparer et ouvrir un ticket de support.