Revenir sur un instantané de machine virtuelle : ce qu’il restaure et ce qu’il ne restaure pas
Un instantané de VM restaure l’état du disque et de la mémoire de l’invité, pas les actions de comptes distants, les copies de fichiers partagés ni les enregistrements conservés ailleurs : délimitez d’abord la portée du retour arrière.
Un point de contrôle remet une partie de l’invité en arrière et laisse chaque autre système où il était. Ce qui a quitté l’invité — un message livré, un fichier copié vers l’hôte, une action de compte qu’un site a acceptée — appartient au système qui l’a reçue, pas au point de contrôle. Le retour arrière a une portée locale définie, et l’appeler effacement transforme un plan de reprise en affirmation fausse. Le tableau ci-dessous est la liste de vérification de ce qu’une restauration atteint réellement.
Le bureau revient, la session distante non
La plainte habituelle arrive après coup. La machine virtuelle démarre dans l’état de la semaine dernière, l’historique du navigateur a disparu, et le service auquel l’utilisateur s’est connecté liste toujours la session comme active. Rien n’est cassé ; les deux systèmes n’ont jamais été dans la même transaction.
| Where the effect landed | Who owns undoing it | How you verify it is gone |
|---|---|---|
| Guest virtual disk | The hypervisor, through the checkpoint you restore | The disk state matches the checkpoint's timestamp |
| Guest memory | Only a checkpoint type that saved memory | The guest resumes or cold-boots, as that type dictates |
| Host share or clipboard | The owner of that host path | The copied file is absent at its destination |
| Remote account or session | The service that accepted the action | The session list shows nothing active for that account |
| Mail or message queue | The mail system that delivered it | The message is gone from the recipient's mailbox, not from the guest |
Cet écart est la leçon. Un point de contrôle restaure ce que l’hyperviseur suit : le matériel virtuel de l’invité et, selon le type, sa mémoire. Il ne suit pas la table des sessions d’une application web, la file d’envoi d’un serveur de messagerie ni le dossier de téléchargements d’un collègue. Lisez le type avant de restaurer, car le type décide de ce qu’une restauration peut récupérer, si tant est qu’elle puisse récupérer quelque chose.
Ce que l’hyperviseur a réellement enregistré
La documentation Hyper-V de Microsoft distingue les points de contrôle standard, qui capturent la mémoire avec les disques virtuels, des points de contrôle de production, qui utilisent un mécanisme cohérent avec les données et omettent la mémoire. Un point de contrôle standard reprend à l’instruction que l’invité exécutait ; un point de production démarre plutôt depuis un disque cohérent. Cette différence décide si une restauration rend un processus en cours ou un démarrage propre. Ne transposez pas le comportement d’un hyperviseur à un autre, car les termes et le mécanisme de cohérence changent d’un produit à l’autre.
Microsoft avertit aussi qu’un point de contrôle n’est pas une sauvegarde, et l’avertissement compte. Une chaîne de points de contrôle sur un même volume partage le sort de ce volume, elle protège donc contre une mauvaise modification plutôt que contre un hôte perdu.
Les fichiers qui vivent hors du disque de l’invité
Un dossier partagé est un système de fichiers de l’hôte présenté à l’invité, et revenir sur l’invité ne le rétablit pas. Si l’utilisateur a téléchargé un fichier dans l’invité et l’a copié à l’extérieur par un chemin partagé, cette seconde copie a son propre cycle de vie et son propre propriétaire. Restaurer l’invité supprime la première copie et laisse la seconde exactement là où elle a été placée.
Demandez à qui appartient chaque chemin avant de promettre un retour arrière. Un partage d’hôte, un transfert par presse-papiers et un envoi vers un disque cloud sont trois destinations, et seule la première se trouve peut-être à côté du stockage de l’hyperviseur.
Là où une copie doit vraiment être supprimée, supprimez-la à sa destination et consignez cette étape séparément. Un plan de reprise qui n’énumère que l’instantané est incomplet d’une manière que personne ne remarque avant que la copie ne soit trouvée. La même prudence vaut pour les journaux que l’hôte a écrits pendant que l’invité tournait.
Les comptes que l’hyperviseur n’a jamais vus
Tout ce qu’un service a accepté de l’invité est un enregistrement du service, pas de l’invité. L’hyperviseur n’a jamais vu cette transaction, il ne peut donc pas l’inverser. Un changement de mot de passe, un achat, un message publié et un appel d’API persistent tous dans le système qui les a traités. Restaurer une image de disque n’atteint pas ce système.
L’état du navigateur rend l’écart concret. Un invité restauré peut conserver un cookie plus ancien pour un service qui a depuis renouvelé la session, si bien que l’utilisateur paraît connecté et se voit rejeté en silence, ou paraît déconnecté alors que le service tient encore la session pour valide. Révoquer la session auprès du service est la seule opération qui y met fin.
Ce qu’une restauration ne peut pas annuler
Un point de contrôle est utile pour un test approuvé ou une expérience de configuration dont la portée est comprise. C’est une annulation locale pour un état local, ce qui est une promesse plus étroite qu’il n’y paraît, et ce n’est pas la preuve que l’hôte, l’hyperviseur ou un système externe soit resté propre. Un VPN change le chemin que prennent les paquets ; il ne rend pas le logiciel de l’invité sûr à exécuter. Les deux affirmations sont distinctes et une seule concerne le tunnel.
$cp = Get-VMSnapshot -VMName lab-desktop -Name baseline
Get-VMHardDiskDrive -VMSnapshot $cp | Select-Object ControllerType, ControllerNumber, ControllerLocation, PathLa première ligne résout le point de contrôle en objet, et la seconde énumère les disques qu’il couvre, ce qui répond à la question de la portée par des preuves plutôt que par la mémoire. Faites tourner et révoquez un secret exposé auprès du service qui le détient. Là où du code malveillant connu est en jeu, utilisez un environnement d’enquête autorisé et le processus de réponse de l’organisation au lieu de supposer qu’un instantané rend l’exécution sûre.
Notez trois choses avant la restauration : quel état de l’invité vous reprenez, quels systèmes extérieurs détiennent encore l’effet, et le point auquel vous ferez confiance ensuite. Ce plan est une affirmation plus forte qu’une machine qui redevient familière. Conservez-le avec le ticket pour que la prochaine restauration parte de la même liste.