Décommissionner un serveur en toute sécurité : le retirer de tous les systèmes qui lui font encore confiance

Objectif

Retirer un serveur du service sans laisser de références obsolètes dans le DNS, la supervision, les sauvegardes ou un service d'annuaire, et effacer son stockage de façon adaptée au type de support avant réutilisation ou mise au rebut.

Prérequis

La fiche d'inventaire qui recense tous les systèmes référençant cet hôte ; les droits nécessaires pour supprimer des entrées dans les systèmes DNS, de supervision, de sauvegarde et d'annuaire ; et un plan d'effacement des supports si les disques sont réutilisés ou quittent le périmètre de contrôle de l'organisation.

Étapes

1. Vérifier que plus rien ne dépend de l'hôte (connexions actives, tâches qui le ciblent, entrées de répartiteur de charge) et commencer par drainer le trafic.
2. Supprimer ou mettre à jour les enregistrements DNS (directs et inverses) afin que le nom et l'adresse IP ne pointent plus vers un service actif.
3. Retirer l'hôte de la supervision, des tableaux de bord et des runbooks.
4. Désactiver ses tâches de sauvegarde ; conserver ou purger les sauvegardes existantes selon la politique de rétention.
5. Révoquer les identifiants émis pour cet hôte : entrées de confiance known_hosts, identifiants de comptes de service et d'API, et certificats TLS à son nom (les révoquer, sans attendre leur expiration).
6. Si l'hôte est joint au domaine, supprimer son objet ordinateur avec Remove-ADComputer -Identity <name>, cmdlet documentée comme « Removes an Active Directory computer ». Prévisualiser l'opération avec -WhatIf ; l'annuler nécessite la corbeille Active Directory (AD Recycle Bin) ou une restauration autoritative. Les objets ayant des objets enfants (comme les nœuds de cluster) nécessitent Remove-ADObject -Recursive.
7. Effacer le stockage avant réutilisation ou mise au rebut, en adaptant la méthode au support. La norme NIST SP 800-88 Rev. 2 définit l'effacement (sanitization) comme le fait de rendre « access to target data on the media infeasible for a given level of effort », au moyen de Clear, Purge ou Destroy :
   • SSD/NVMe : l'écrasement n'est pas fiable à cause du wear-leveling ; utiliser la commande d'effacement propre au disque. Pour NVMe, nvme format <device> --ses=1 (effacement des données utilisateur) ou --ses=2 (effacement cryptographique) convient ; un simple nvme format utilise par défaut --ses=0, « No secure erase operation requested ». nvme sanitize et les commandes ATA secure-erase/sanitize sont des alternatives lorsqu'elles sont prises en charge. blkdiscard se contente d'envoyer un TRIM aux secteurs (« is used to discard device sectors ») et ne garantit pas que les cellules flash soient effacées : ce n'est donc pas une méthode d'effacement.
   • Volumes LUKS : cryptsetup luksErase <device> (syntaxe plus récente : cryptsetup erase) détruit tous les keyslots et rend le conteneur « permanently inaccessible ». Cela ne vaut effacement cryptographique que si toutes les données ont été chiffrées dès la première écriture et qu'aucune sauvegarde de l'en-tête LUKS ni aucune copie de la clé du volume n'a survécu.
   • Disques durs (HDD) : un écrasement complet du périphérique relève de la technique Clear, mais n'atteint pas les secteurs réalloués. Purge repose sur la commande sanitize/secure-erase du disque ou sur la démagnétisation, et Destroy correspond à la destruction physique.
   • Volumes cloud : supprimer le volume et détruire sa clé gérée par le client si vous en utilisez une.
8. Marquer la fiche d'inventaire comme retirée du service plutôt que de la supprimer.

Résultat attendu

Aucune entrée DNS, de supervision, de sauvegarde ou d'annuaire ne référence plus l'hôte, ses identifiants sont révoqués et son stockage est effacé selon la méthode adaptée à son type de support.

Limites et base de vérification

La norme NIST SP 800-88 considère Clear, Purge et Destroy comme des niveaux d'assurance différents, et non comme des options interchangeables ; le choix dépend de la sensibilité des données et du fait que le support quitte ou non le contrôle de l'organisation, et le résultat doit être vérifié et consigné. Selon les capacités du disque, nvme format peut effacer tous les espaces de noms (namespaces) du contrôleur ; aucune de ces commandes n'est réversible, il faut donc vérifier au préalable le chemin du périphérique (lsblk, nvme list). La suppression d'un objet ordinateur AD n'invalide pas les tickets Kerberos déjà émis, qui restent valides jusqu'à leur expiration ; les comptes de service et délégations associés se traitent à l'étape 5.