Sécurisation des Scripts de Sauvegarde PowerShell

1. Audit des scripts existants

Recensement des scripts par emplacement logique (sites / rôles), inventaire des comptes utilisés et repérage systématique des chaînes sensibles (ConvertTo-SecureString -AsPlainText, concaténation de mots de passe, fichiers .ps1 modifiables par des profils non admin).

2. Commande INIT — chiffrement DPAPI

Création d'un dossier masqué sous le profil utilisateur et export d'un SecureString chiffré par DPAPI. Le fichier XML n'est pas réutilisable sur une autre machine ni sous un autre compte Windows.

$credDir = Join-Path $HOME ".backup_creds"
if (-not (Test-Path -LiteralPath $credDir)) {
    $null = New-Item -ItemType Directory -Path $credDir -Force
    $dirItem = Get-Item -LiteralPath $credDir
    $dirItem.Attributes = $dirItem.Attributes -bor [System.IO.FileAttributes]::Hidden
}
$xmlPath = Join-Path $credDir "nas_credential.xml"
Read-Host "Mot de passe du compte de service (fictif)" -AsSecureString |
    Export-Clixml -Path $xmlPath

3. Réécriture des scripts — chargement sécurisé

Les scripts de production importent le secret via Import-Clixml et reconstruisent un PSCredential. Si l'INIT n'a pas été exécutée, un message explicite évite un échec silencieux.

$credFile = Join-Path $HOME ".backup_creds\nas_credential.xml"
if (-not (Test-Path -LiteralPath $credFile)) {
    Write-Error "Fichier d'identifiants introuvable. Exécutez d'abord le script INIT sur ce poste sous le compte d'exécution de la tâche planifiée."
    exit 1
}
$secureFromDisk = Import-Clixml -Path $credFile
$userName = "DOMAINE\svc_backup"
$cred = New-Object System.Management.Automation.PSCredential($userName, $secureFromDisk)

4. Mappage réseau et Robocopy

Suppression préalable du lecteur logique pour éviter les conflits, création du PSDrive avec les identifiants chargés, puis copie avec Robocopy. Les codes de sortie sont qualifiés : une valeur strictement inférieure à 8 est considérée comme succès.

$driveName = "Z"
if (Get-PSDrive -Name $driveName -ErrorAction SilentlyContinue) {
    Remove-PSDrive -Name $driveName -Force -ErrorAction SilentlyContinue
}
$nasRoot = "\\NAS-EXEMPLE\partage\sauvegardes\SITE_GENERIQUE"
New-PSDrive -Name $driveName -PSProvider FileSystem -Root $nasRoot -Credential $cred -Scope Script | Out-Null

$src = "D:\DonneesMetier"
$dst = "${driveName}:\"
& robocopy $src $dst /E /FFT /COPY:DAT /Z /R:3 /W:5 /XJ
$rc = $LASTEXITCODE
if ($rc -ge 8) {
    throw "Robocopy en échec (code $rc)"
}
# Codes 0–7 : succès ou situation sans erreur bloquante (documentation Microsoft)

5. Journalisation structurée

Fonction Write-Log avec quatre niveaux (OK, ECHEC, WARN, INFO), horodatage au format dd/MM/yyyy HH:mm:ss, couleurs en console. Un try/catch non bloquant tente de copier le fichier de log vers le NAS sans faire échouer la sauvegarde si le partage est momentanément indisponible.

$script:LogFile = Join-Path $env:ProgramData "BackupMetier\sauvegarde.log"
$logDir = Split-Path $script:LogFile
if (-not (Test-Path $logDir)) { New-Item -ItemType Directory -Path $logDir -Force | Out-Null }

function Write-Log {
    param([ValidateSet('OK','ECHEC','WARN','INFO')][string]$Level, [string]$Message)
    $ts = Get-Date -Format 'dd/MM/yyyy HH:mm:ss'
    $line = "[$ts] [$Level] $Message"
    switch ($Level) {
        'OK'    { Write-Host $line -ForegroundColor Green }
        'ECHEC' { Write-Host $line -ForegroundColor Red }
        'WARN'  { Write-Host $line -ForegroundColor Yellow }
        'INFO'  { Write-Host $line -ForegroundColor Cyan }
    }
    Add-Content -Path $script:LogFile -Value $line
}

try {
    Copy-Item -Path $script:LogFile -Destination "\\NAS-EXEMPLE\partage\logs\poste_generique.log" -Force
} catch {
    Write-Log -Level WARN "Copie du log vers le NAS impossible : $($_.Exception.Message)"
}

6. Script de création de tâche planifiée

Un second script PowerShell enregistre la tâche en local (New-ScheduledTask) avec déclencheur (quotidien), compte d'exécution et chemin du script principal. Intérêt : éviter une configuration manuelle poste par poste lors du déploiement sur de nombreuses machines industrielles, homogénéiser les paramètres et réduire les erreurs humaines.

$taskName = "Sauvegarde_Metier_PS"
$scriptPath = "C:\Outils\Sauvegarde\Invoke-BackupSecurise.ps1"
$action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-NoProfile -ExecutionPolicy Bypass -File `"$scriptPath`""
$trigger = New-ScheduledTaskTrigger -Daily -At "02:15"
$principal = New-ScheduledTaskPrincipal -UserId "DOMAINE\svc_backup" -LogonType Password -RunLevel Highest
$settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
Register-ScheduledTask -TaskName $taskName -Action $action -Trigger $trigger -Principal $principal -Settings $settings -Force