Veeam Backup for Microsoft 365 — pełna konfiguracja krok po kroku (HowTo, NIS2)

Veeam Backup for Microsoft 365 w 2026 roku: praktyczny HowTo dla firm

Veeam Backup for Microsoft 365 v8 pozwala zabezpieczyć Exchange Online, SharePoint Online, OneDrive for Business i Microsoft Teams poza natywną retencją Microsoftu. To ważne, bo usunięcie danych, błędna polityka retencji, przejęcie konta administratora albo ransomware synchronizujący zaszyfrowane pliki do chmury nadal są realnymi scenariuszami biznesowymi. Wdrożenie backupu powinno być opisane, testowane i powiązane z RPO/RTO, szczególnie w organizacjach przygotowujących się do NIS2.

Poradnik obejmuje instalację, Modern Authentication, repozytoria lokalne i S3 immutable, joby dla Exchange, SharePoint, OneDrive i Teams oraz restore. Przy zakupie sprawdź Veeam, licencje Microsoft 365, rozwiązania Backup i scenariusze hybrydowe z Exchange Server.

Co daje Veeam Backup for Microsoft 365 v8

Wersja v8 rozwija ochronę danych w object storage, backup copy i immutability. Oficjalna dokumentacja opisuje repozytoria lokalne, Amazon S3, Azure Blob i S3-compatible storage: Veeam Backup Repositories. Najważniejsze funkcje:

• backup Exchange Online: skrzynki, archiwa, wiadomości, kalendarze, kontakty;
• backup SharePoint Online: witryny, biblioteki, listy i dokumenty;
• backup OneDrive for Business: pliki, foldery i wersje plików;
• backup Teams: zespoły, kanały, karty, pliki i dane obsługiwane przez API Microsoftu;
• granularny restore przez Veeam Explorers i Restore Portal;
• immutable backup w object storage dla ochrony przed skasowaniem lub zmianą kopii.

Licencjonowanie i koszty w 2026

Klasyczny Veeam Backup for Microsoft 365 jest licencjonowany per chroniony użytkownik; restore nie zużywa licencji. Jeden użytkownik nie jest liczony osobno za Exchange, OneDrive i osobistą witrynę SharePoint. Zasady opisuje producent: Veeam licensing. Publiczne ceny SaaS Veeam Data Cloud for Microsoft 365 w 2026 roku zaczynają się od ok. 2,63 USD za użytkownika miesięcznie przy płatności rocznej, natomiast oferty self-managed w polskim kanale sprzedaży zależą od wsparcia, okresu subskrypcji i minimalnego zakupu. Do budżetu dolicz storage, serwer Windows, transfer i administrację.

Wymagania wstępne

Dla MŚP wystarczy zwykle dedykowana VM z Windows Server 2022/2025, szybkim dyskiem systemowym i osobnym wolumenem na cache lub repozytorium. Szczegóły buildów sprawdzaj przed instalacją w System Requirements. Przygotuj:

• aktualny Windows Server, DNS, stały adres IP i dostęp HTTPS do Microsoft 365 oraz storage;
• .NET Desktop Runtime i ASP.NET Core Runtime zgodne z buildem Veeam;
• IIS, jeśli wdrażasz REST API lub Restore Portal;
• konto administracyjne Entra ID do wykonania admin consent;
• oddzielne konta dla serwera Veeam, storage i operatorów restore;
• politykę retencji, RPO/RTO oraz plan testów odtwarzania.

Opis zrzutu ekranu 1: Server Manager z rolą IIS, zainstalowanym runtime ASP.NET Core i wolumenami D:\VeeamM365Cache oraz E:\VeeamM365Repo.

NIS2: jak przełożyć wymagania na backup

NIS2 wymaga zarządzania ryzykiem, ciągłości działania i gotowości na incydenty, a nie tylko posiadania narzędzia. ENISA opisuje dyrektywę jako podniesienie i harmonizację wymagań cyberbezpieczeństwa w UE: ENISA NIS2. W praktyce backup Microsoft 365 powinien mieć udokumentowaną retencję, separację uprawnień, niezmienialną kopię i cykliczny restore test.

Konfiguracja krok po kroku

1. Przygotuj Windows Server

   Zainstaluj poprawki, przygotuj katalogi i komponenty wymagane przez portal lub API.

   Install-WindowsFeature Web-Server,Web-Mgmt-Tools
   New-Item -ItemType Directory -Path D:\VeeamM365Cache
   New-Item -ItemType Directory -Path E:\VeeamM365Repo
   Set-ExecutionPolicy RemoteSigned -Scope LocalMachine

   Opis zrzutu ekranu 2: PowerShell po utworzeniu katalogów cache i repozytorium.

2. Zainstaluj Veeam Backup for Microsoft 365 v8

   Uruchom instalator i wybierz Backup Server, Console, PowerShell oraz Veeam Explorers. Dla większych środowisk rozważ osobne proxy i osobny serwer Restore Portal.

   Get-Service Veeam.Archiver.Service
   Import-Module Veeam.Archiver.PowerShell
   Get-Module Veeam.Archiver.PowerShell

3. Skonfiguruj Modern Authentication

   Użyj aplikacji w Microsoft Entra ID i certyfikatu zamiast stałego hasła administratora. Kreator Veeam może zarejestrować aplikację automatycznie, ale w środowisku audytowanym lepiej zachować opis zgód i właściciela aplikacji.

   $cert = New-SelfSignedCertificate `
     -Subject "CN=VeeamM365Backup" `
     -CertStoreLocation "Cert:\LocalMachine\My" `
     -KeyExportPolicy Exportable `
     -KeySpec Signature `
     -NotAfter (Get-Date).AddYears(2)
   Export-Certificate -Cert $cert -FilePath C:\Temp\VeeamM365Backup.cer

4. Dodaj organizację Microsoft 365

   W konsoli wybierz Organizations > Add org, wskaż Microsoft 365 i zaznacz Exchange, SharePoint, OneDrive oraz Teams. Cmdlety organizacji opisuje Veeam PowerShell Organizations.

   $org = Get-VBOOrganization -Name "contoso.onmicrosoft.com"
   Start-VBOOrganizationSynchronization -Organization $org
   Get-VBOOrganizationSynchronizationState -Organization $org

   Opis zrzutu ekranu 3: kreator Add Organization z Modern Authentication i potwierdzonym tenantem.

5. Dodaj repozytorium lokalne

   Repozytorium lokalne jest szybkie i tanie, ale nie powinno być jedyną kopią dla danych krytycznych. Używaj go jako cache, krótkiej retencji lub pierwszej warstwy.

   $proxy = Get-VBOProxy -Name "Default Backup Proxy"
   Add-VBORepository -Name "M365-Local-90D" `
     -Proxy $proxy `
     -Path "E:\VeeamM365Repo" `
     -RetentionPeriod 90 `
     -RetentionType SnapshotBased

6. Dodaj S3 immutable backup

   Dla NIS2 i odporności na ransomware rekomenduj object storage z Object Lock, versioningiem i oddzielnym kontem administracyjnym. Bucket utwórz przed dodaniem do Veeam.

   aws s3api get-bucket-versioning --bucket firma-m365-veeam
   aws s3api get-object-lock-configuration --bucket firma-m365-veeam
   # Veeam GUI: Backup Infrastructure > Object Storage Repositories
   # Add Object Storage > enable immutability > set retention lock

   Opis zrzutu ekranu 4: kreator Object Storage Repository z włączoną opcją immutability i katalogiem cache.

7. Utwórz job Exchange Online

   Dla Exchange ustaw harmonogram kilka razy dziennie, jeśli RPO poczty jest krótkie. Osobny job ułatwia raportowanie i diagnostykę.

   $repo = Get-VBORepository -Name "M365-Local-90D"
   Add-VBOJob -Name "M365-Exchange-All" `
     -Organization $org `
     -Repository $repo `
     -EntireOrganization `
     -ExcludedObjectTypes OneDrive,SharePoint,Teams

8. Utwórz job SharePoint, OneDrive i Teams

   SharePoint i Teams są zwykle największym źródłem danych. W dużych tenantach dziel joby według działów lub krytyczności. Pamiętaj, że Teams korzysta z SharePoint, OneDrive i Exchange.

   Add-VBOJob -Name "M365-SharePoint-Teams" `
     -Organization $org -Repository $repo -EntireOrganization `
     -ExcludedObjectTypes Exchange,OneDrive
   
   Add-VBOJob -Name "M365-OneDrive-All" `
     -Organization $org -Repository $repo -EntireOrganization `
     -ExcludedObjectTypes Exchange,SharePoint,Teams

9. Ustaw retencję, monitoring i raporty

   Retencja ma wynikać z klasyfikacji danych. Eksport konfiguracji i statusu jobów przechowuj jako dowód dla audytu.

   Get-VBOJob | Select-Object Name, IsEnabled, LastStatus
   Get-VBOJobSession | Sort-Object CreationTime -Descending | Select-Object -First 10
   Get-VBOJob | Select Name, Repository, IsEnabled |
     Export-Csv C:\Temp\veeam-m365-jobs.csv -NoTypeInformation -Encoding UTF8

10. Przetestuj restore

    Po pierwszym pełnym przebiegu odtwórz pojedynczą wiadomość, dokument SharePoint, folder OneDrive i element Teams. Zapisz datę, operatora, źródłowy punkt przywracania, lokalizację docelową i czas RTO.

    Get-VBOJobSession | Select-Object JobName, Status, CreationTime, EndTime
    Get-VBORestoreSession | Select-Object Type, State, StartTime, EndTime

    Opis zrzutu ekranu 5: Veeam Explorer for Microsoft Exchange z zaznaczoną wiadomością i opcją Restore to original mailbox.

Scenariusze Disaster Recovery

Dobry backup Office 365 musi obsłużyć małe i duże awarie. Typowe scenariusze to: przypadkowe usunięcie wiadomości, skasowanie konta użytkownika, masowa utrata plików w SharePoint, zaszyfrowane pliki w OneDrive, usunięcie zespołu Teams oraz błąd administratora w polityce retencji. Runbook DR powinien wskazywać kolejność odtwarzania: zarząd i finanse, skrzynki współdzielone, krytyczne witryny SharePoint, Teams używane operacyjnie, a dopiero potem dane mniej pilne.

Czego brakuje w wielu poradnikach konkurencji

Wyniki SERP dla fraz „veeam backup microsoft 365”, „veeam m365 konfiguracja”, „backup teams” i „immutable backup” często pokazują instalację jednego joba „Entire organization”. To nie wystarcza dla firm objętych NIS2. Najczęściej brakuje rozdzielenia jobów, opisu kosztu storage, dowodów audytowych, testu restore i wyjaśnienia, że Teams jest technicznie rozproszony między SharePoint, OneDrive i Exchange.