Virtualisation : Hyper-V, cluster et Veeam

L'écran Virtualisation répond à trois questions d'exploitation : le cluster tiendrait-il la perte d'un hôte, quelles VM traînent un point de contrôle oublié, et lesquelles ne sont pas sauvegardées. Les données viennent de l'agent FirstSI installé sur les hôtes Hyper-V et sur le serveur Veeam Backup & Replication.

#Ce qu'il faut

Le module Virtualisation s'ouvre organisation par organisation : s'il manque au menu, demandez-le à l'équipe qui exploite votre plateforme. Côté agent, activez le module Virtualisation sur chaque machine concernée (voir Gérer les agents). Il faut un agent en version 2026.10.11.4 ou plus récente.

Installez PowerShell 7 sur le serveur Veeam, dans son dossier par défaut (C:\Program Files\PowerShell\7). Veeam 13 refuse Windows PowerShell 5.1 : sans PowerShell 7, l'agent ne relève rien sur ce serveur.

Le relevé est léger : une trentaine de secondes au plus toutes les 15 minutes sur un hôte, environ une minute par heure sur le serveur Veeam. Il s'arrête de lui-même au bout de 5 minutes s'il n'a pas abouti.

Sur une machine qui n'est ni hôte Hyper-V ni serveur Veeam, le module ne relève rien. Il le signale une fois par jour, et l'écran affiche la machine dans la ligne « Module actif sur des machines qui ne sont ni hôte Hyper-V ni serveur Veeam ».

#Vue d'ensemble

Ouvrez Virtualisation (#/virtualisation), dans le groupe du même nom. Six onglets : Vue d'ensemble, Machines virtuelles, Points de contrôle, Sauvegardes, Constats, Réglages. Actualiser recharge l'écran.

Les tuiles du haut donnent les Hôtes Hyper-V, les Machines virtuelles (dont celles allumées), les Points de contrôle (dont les anciens), la taille des Différentiels .avhdx, les VM sans sauvegarde et les Constats. Les tuiles Points de contrôle, VM sans sauvegarde et Constats ouvrent l'onglet correspondant. Constats par règle compte les constats de chaque règle ; un clic sur une règle ouvre sa liste.

Pour chaque cluster, l'écran affiche :

• les nœuds, avec leur État, leur Processeur, leur Mémoire libre, les VM allumées et la Mémoire des VM ;
• le Quorum : son type, l'état du témoin et les votes actifs ;
• Si le nœud le plus chargé tombe : la mémoire des VM allumées de ce nœud, comparée à la mémoire libre des autres nœuds moins une réserve de 8 Go par hôte ;
• chaque volume partagé (CSV), avec une barre d'espace, le pourcentage libre, la saturation prévue d'après la tendance et l'accès depuis chaque nœud.

Le calcul de capacité affiche « non calculable » tant qu'un nœud n'envoie pas son propre relevé : activez le module sur tous les nœuds. Seul le nœud qui détient le groupe principal du cluster envoie la partie cluster, qui n'apparaît donc qu'une fois.

Le tableau Hôtes reprend chaque hôte, en cluster ou non, avec ses services vmms et clussvc, l'âge de son dernier relevé et ses constats. La ligne Veeam en dessous donne la version et l'âge du dernier relevé de chaque serveur.

#Machines virtuelles

L'onglet liste les VM : Hôte, État, vCPU, Mémoire (fixe ou dynamique), Disques (nombre, taille, chaîne complète ou cassée, taille des .avhdx), Points de contrôle (nombre et âge du plus ancien), Dernière sauvegarde et Constats. Filtrez par cluster, par hôte ou par règle, ou tapez un nom dans Filtrer.

Un clic sur une ligne ouvre la fiche de la VM : constats, Incidents en cours, ressources, sauvegarde Veeam, disques avec toute la chaîne de fichiers, points de contrôle et réseau. Un clic sur un incident l'ouvre dans le SIEM. Fermer la referme.

Une VM migrée d'un hôte à l'autre reste la même VM : FirstSI la suit par son identifiant Hyper-V, et la fiche indique « migrée depuis » l'hôte précédent.

#Points de contrôle

L'onglet liste les points de contrôle du plus ancien au plus récent, avec la VM, l'hôte, le Nom, le Type, la date de création, l'Âge et la taille des Différentiels de la VM. L'âge passe en couleur quand il déclenche un constat.

Un point de contrôle oublié fait grossir son fichier différentiel (.avhdx) à chaque écriture de la VM, jusqu'à remplir le volume. Sur une base de données ou un contrôleur de domaine, revenir à un point de contrôle ancien peut aussi corrompre les données.

Pour garder un point de contrôle voulu, cliquez sur Accepter jusqu'à une date sur sa ligne. L'onglet Réglages s'ouvre avec la VM, le point de contrôle et une date à 7 jours ; cliquez sur Ajouter, puis Enregistrer. Un point de contrôle Recovery ne s'accepte pas.

#Sauvegardes

L'onglet suit Veeam Backup & Replication :

• Travaux Veeam : pour chaque travail, son type, son Résultat, sa Dernière fin, sa Durée, sa Prochaine exécution, son nombre d'Objets et ses constats. Le dépôt cible est écrit sous le nom, avec la mention « non planifié », « désactivé » ou « après » un autre travail ;
• Dépôts : l'espace libre et la mention « immuable » ou « non immuable » ;
• VM dans aucun travail Veeam ;
• Sessions avec une longue attente de ressource (48 h), quand il y en a.

Une VM est rapprochée de Veeam par son identifiant Hyper-V quand Veeam le donne, sinon par son nom, sans tenir compte des majuscules. Un travail qui cible un hôte ou un cluster entier couvre toutes ses VM. Un travail désactivé, ou lancé seulement à la main, ne protège pas la VM.

Une VM arrêtée qui n'est dans aucun travail est signalée elle aussi. Si c'est voulu (VM de test, ancienne VM gardée éteinte), déclarez-la dans Réglages → VM non sauvegardées volontairement.

#Lire les constats

L'onglet Constats donne une ligne par objet et par règle : VM, hôte, nœud, CSV, cluster, travail ou dépôt Veeam. Filtrez par règle, par gravité ou par nom. La colonne Règle dit si le constat a ouvert un incident (« incident ouvert ») ou non (« sans incident »).

Un constat reste « sans incident » dans deux cas. Soit c'est une information, par exemple une VM arrêtée alors qu'elle tournait. Soit il était déjà là au premier relevé et sa règle attend un changement. Au premier relevé, seules ces situations ouvrent un incident : points de contrôle, chaînes cassées, état et espace des CSV, nœuds, quorum, réseaux de cluster, VM hors de tout travail Veeam, détections de sabotage. C'est voulu : un parc découvert d'un coup n'ouvre pas des dizaines d'incidents pour des situations anciennes.

L'incident se ferme tout seul quand le constat disparaît au relevé suivant, sauf pour les quatre détections de sabotage : une personne les examine et les ferme elle-même. Sa gravité peut monter, pas descendre.

La règle VM sans sauvegarde ne s'applique que si un serveur Veeam est relevé. Le rôle SQL Server ou contrôleur de domaine d'une VM est repris de l'inventaire AssetMonitor et des instances déclarées dans DBMonitor.

#Sabotage des sauvegardes

Un rançongiciel s'attaque souvent aux sauvegardes et à l'hyperviseur avant de chiffrer. FirstSI compare donc chaque relevé au précédent et signale quatre changements suspects :

L'incident d'un sabotage après une session donne le compte, la machine, le poste ou l'adresse d'origine et l'heure de la session. Pour ce croisement, activez aussi le module SI-Tracer de l'agent sur les hôtes Hyper-V et le serveur Veeam : c'est lui qui relève leurs ouvertures de session (voir SI-Tracer). Sans lui, les trois autres détections fonctionnent, mais pas celle-ci.

Une VM supprimée reste affichée 7 jours dans le cadre VM disparues de tous les hôtes de la vue d'ensemble, les autres détections 24 h. Une maintenance prévue (arrêt groupé de VM, travail Veeam retiré) déclenche les mêmes détections : résolvez alors l'incident dans le SIEM avec la qualification Faux positif.

#Réglages

Tout le monde peut lire l'onglet Réglages ; seul un administrateur le modifie. Rien n'est pris en compte avant Enregistrer. Chaque enregistrement est inscrit au journal d'audit, et les constats sont recalculés aussitôt, sans attendre le relevé suivant.

Une VM se désigne par son nom, sans tenir compte des majuscules. Un seuil « moyen » plus haut que le seuil « élevé » de la même règle est refusé à l'enregistrement.

#Pour aller plus loin

• Les incidents VIRT-* arrivent dans le SIEM sans règle de corrélation à activer, avec les mêmes notifications que les autres incidents. Chaque incident rappelle les actions à mener dans Hyper-V ou Veeam.
• L'Assistant IA lit cet écran : « Quels points de contrôle ont plus de 3 jours ? », « Le cluster tiendrait-il la perte d'un hôte ? », « Quelles VM ne sont pas sauvegardées ? ».
• Le pré-diagnostic des tickets vérifie la VM citée dans un ticket, ou le cluster et le stockage quand un serveur est lent.
• La liste À traiter du tableau de bord reprend les nœuds hors service, les CSV sous 10 % libres, les chaînes cassées, les points de contrôle plus vieux que 72 h et les VM sans sauvegarde récente.

#Questions fréquentes

« Aucun relevé de virtualisation reçu ». Le module Virtualisation n'est actif sur aucun hôte, ou l'agent est trop ancien. Voir L'écran Virtualisation reste vide.

L'onglet Sauvegardes affiche « Aucun serveur Veeam relevé ». Le module n'est pas actif sur le serveur Veeam, ou PowerShell 7 n'y est pas installé. Dans ce second cas, le serveur apparaît dans la ligne des machines qui ne sont « ni hôte Hyper-V ni serveur Veeam ».

Une VM éteinte depuis des mois est signalée sans sauvegarde. Elle n'est dans aucun travail Veeam. Déclarez-la non sauvegardée volontairement, ou ajoutez-la à un travail si vous voulez pouvoir la restaurer.

J'ai supprimé un point de contrôle dans Hyper-V, l'écran l'affiche encore. L'écran montre le dernier relevé de l'hôte, qui a jusqu'à 15 minutes de retard. L'incident se ferme dès le relevé suivant.

FirstSI peut-il supprimer le point de contrôle pour moi ? Non. L'écran ne fait que lire ; la suppression se fait dans le Gestionnaire Hyper-V ou dans Veeam.

Source : · Docs FirstSI · mis à jour le 12/10/2026