Bekap Microsoft 365 na sopstvenom serveru

Šta ćete podesiti

BackupZit čita Microsoft 365 tenant preko Microsoft Graph-a, uz registrovanu aplikaciju koja ima dozvole samo za čitanje: u tenantu se ništa ne menja niti briše. Podatke preuzima bilo koji BackupZit agent sa pristupom internetu — na primer agent na mašini sa konzolom — i čuva ih kao svaki drugi bekap: deduplicirano, šifrovano, sa pravilima čuvanja, poslovima kopiranja i testovima vraćanja. BackupZit je besplatan i otvorenog koda (AGPLv3), bez licenci po korisniku.

• Zašto posebna kopija
• Šta vam treba
• 1. Registracija aplikacije
• 2. Skladište
• 3. Posao bekapa
• Šta se bekapuje
• 4. Kopija van lokacije
• Vraćanje
• Ograničenja
• Rešavanje problema

Zašto posebna kopija Microsoft 365?

Microsoft se brine da servis radi, ali su podaci u njemu vaša odgovornost: sandučić obrisan greškom, fajlovi šifrovani preko sinhronizovanog OneDrive-a ili nalog uklonjen kada neko napusti firmu. Korpe za otpatke i podešavanja čuvanja nalaze se u istom tenantu i ističu. Bekap na vašem skladištu je nezavisna kopija koju vi kontrolišete, van tenanta i njegovih administratorskih naloga.

Šta vam treba

• BackupZit konzola — mala Linux VM (2 vCPU, 2–4 GB RAM-a, disk 16–20 GB) iz gotove slike sa stranice za preuzimanje, ili skripta za instalaciju na postojećem Debian, Ubuntu, AlmaLinux ili Rocky Linux serveru.
• Agent koji preuzima podatke: Windows ili Linux, sa HTTPS pristupom ka login.microsoftonline.com, graph.microsoft.com i, za fajlove sa OneDrive-a i SharePoint-a, *.sharepoint.com. Dovoljan je agent na mašini sa konzolom.
• Skladište za bekap: SFTP, SMB deljeni folder, S3 kompatibilan bucket, Azure Blob Storage ili BackupZit ojačani repozitorijum.
• Global Administrator tenanta, jednom, da registruje aplikaciju i odobri dozvole.

Korak 1 — Registrujte aplikaciju u Microsoft Entra ID

Jednom po tenantu, u Microsoft Entra admin centru:

1. App registrations → New registration: nazovite je npr. BackupZit, izaberite Accounts in this organizational directory only, bez redirect URI-ja. Zapišite Application (client) ID i Directory (tenant) ID sa njene početne stranice.
2. Certificates & secrets → New client secret: izaberite trajanje (npr. 24 meseca) i odmah kopirajte Value tajne — prikazuje se samo jednom. Secret ID nije tajna.
3. API permissions → Add a permission → Microsoft Graph → Application permissions (ne delegated):

   Za bekap	Dozvole
   Pošta i OneDrive	User.Read.All, Mail.Read, Files.Read.All
   Kalendari i kontakti	i Calendars.Read, Contacts.Read
   SharePoint sajtovi	i Sites.Read.All

4. Kliknite Grant admin consent for …. Dok to ne uradite, status je Not granted i bekapi se odbijaju.

To su samo dozvole za čitanje. Da biste aplikaciju ograničili na neke sandučiće, Exchange administrator može da doda application access policy ili RBAC for Applications opseg; nalozi van njega se tada prijavljuju kao nečitljivi.

Korak 2 — Dodajte skladište

U konzoli otvorite Storage i dodajte odredište — na primer SMB deljeni folder na NAS-u za prvu kopiju i S3 bucket sa Object Lockom za kopiju van lokacije. Ostavite uključeno Encrypt backups (podrazumevano): pošta i fajlovi se šifruju AES-256 algoritmom na agentu pre nego što ga napuste. Ključ za oporavak koji konzola prikaže čuvajte odvojeno od bekapa, npr. odštampan ili u menadžeru lozinki.

Korak 3 — Napravite Microsoft 365 posao

1. Pod Backup jobs napravite posao vrste Microsoft 365 i izaberite agenta koji preuzima podatke.
2. Unesite Directory (tenant) ID, Application (client) ID i Client secret iz koraka 1. Tajna se čuva šifrovana.
3. Izaberite šta se bekapuje: Mail, OneDrive, Calendars and contacts, SharePoint sites — u bilo kojoj kombinaciji.
4. Izaberite naloge: All accounts with a mailbox or OneDrive (nalozi dodati kasnije ulaze automatski; izuzeci se navode po jedan u redu) ili Only these accounts. Nalozi bez licence se preskaču. Za SharePoint isti izbor važi za sajtove: svi sajtovi sa izuzecima, ili samo navedene adrese sajtova kao https://contoso.sharepoint.com/sites/sales.
5. Umesto kucanja adresa kliknite Choose from the list: konzola pročita naloge i sajtove tenanta preko upravo unete aplikacije i ponudi ih za označavanje.
6. Izaberite skladište, raspored (npr. svake noći) i pravila čuvanja.

Kada sačuvate posao, konzola se prijavljuje kao aplikacija i proverava dozvole, naloge i sajtove, pa se pogrešna tajna ili neodobrene dozvole vide odmah.

Prvi bekap preuzima sve. Svaki sledeći ponovo izlistava foldere, ali preuzima samo poruke i fajlove koji su novi ili izmenjeni (pročitane, označene, premeštene ili uređene poruke se računaju kao izmenjene); nepromenjeni podaci se uzimaju iz prethodnog bekapa. Microsoft ograničava brzinu čitanja za aplikacije — BackupZit sačeka kada Microsoft to zatraži i nastavi, pa prvi bekap velikih sandučića može da traje satima.

Šta se bekapuje

Bekap ima jedan folder po nalogu — ana@contoso.com/Mail/Inbox/…, …/OneDrive/…, …/Calendar/…, …/Contacts/… — i SharePoint/<sajt>/<biblioteka>/…. Pošto su fajlovi u standardnim formatima, čitljivi su i bez BackupZit-a.

Korak 4 — Čuvajte kopiju van lokacije (3-2-1)

Dodajte posao vrste Backup copy sa Microsoft 365 poslom kao izvorom i drugim odredištem na drugoj lokaciji — S3 bucket sa Object Lockom ili ojačani repozitorijum čine tu kopiju nepromenljivom. Šalju se samo podaci kojih još nema na odredištu, a kopija ima svoja pravila čuvanja. Automatski testovi vraćanja (podrazumevano jednom nedeljno, pod Settings → Restore tests) vraćaju nasumičan uzorak iz najnovijeg bekapa i proveravaju svaki bajt prema sačuvanim kontrolnim zbirovima.

Vraćanje

• Pregled i preuzimanje: na pokretanju bekapa otvorite foldere pošte, OneDrive, kalendare ili kontakte naloga, ili SharePoint sajt; označite poruke, događaje, fajlove ili foldere i preuzmite ih — jedan fajl kakav jeste, više njih kao ZIP. .eml fajlove otvorite u Outlook-u ili ih prevucite u sandučić.
• Vraćanje u folder na bilo kom agentu: poruke kao .eml, događaji kao .ics, kontakti kao .vcf, fajlovi sa OneDrive-a i SharePoint-a kakvi su bili, ispod <folder>/<nalog>/… i <folder>/SharePoint/….

Ograničenja

• Vraćanje direktno u sandučić ili OneDrive još ne postoji (planirano je; upisivaće samo u novi folder i nikad neće prepisivati). Za sada se podaci preuzimaju ili vraćaju u folder.
• Ne bekapuju se: Teams četovi i poruke u kanalima, SharePoint liste i stranice (samo biblioteke dokumenata), prilozi događaja u kalendaru, fotografije kontakata, pojedinačno izmenjena ponavljanja serije i deljeni sandučići bez korisničkog naloga.
• Vremena događaja u kalendaru čuvaju se u UTC-u.

Rešavanje problema

• AADSTS7000215 / invalid client secret: kopiran je ID tajne umesto njene vrednosti (Value), ili je tajna istekla — napravite novu i unesite je u posao.
• Missing application permissions / Authorization_RequestDenied: dodajte dozvole kao application dozvole i kliknite Grant admin consent.
• The account has no Exchange Online mailbox: nalog nema Exchange licencu (ili je kontakt); uklonite ga iz posla.
• Pokretanje sa upozorenjima navodi poruke ili fajlove koji nisu mogli da se pročitaju (npr. OneNote beležnica); ostatak bekapa je kompletan.

Sledeći koraci

Preuzmite BackupZit, pogledajte sve mogućnosti za Microsoft 365 ili pročitajte poglavlje Microsoft 365 u uputstvu u konzoli. Ista konzola bekapuje i servere i virtuelne mašine — pogledajte vodiče za Proxmox VE i Hyper-V. Pitanja su dobrodošla u GitHub Discussions; firme mogu dobiti komercijalnu podršku od MaxZit-a.