1. Les piliers #
Un cadre commun à tous les fournisseurs.
Vue d'ensemble #
Ces piliers sont des compromis à arbitrer, pas des cases à cocher : plus de résilience coûte plus cher, plus de sécurité peut ralentir les livraisons. L'important est de décider consciemment et de documenter.
2. Sécurité et identité #
Le modèle de responsabilité partagée.
Moindre privilège et traçabilité #
aws sts get-caller-identity
aws iam generate-credential-report && aws iam get-credential-report --query Content --output text | base64 -d | head -3
# Politique minimale (exemple : lecture d'un seul bucket)
cat > policy.json <<'EOF'
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": ["s3:GetObject"], "Resource": "arn:aws:s3:::rapports-prod/*" } ] }
EOF
aws iam create-policy --policy-name lecture-rapports --policy-document file://policy.json
aws cloudtrail lookup-events --max-results 5 # qui a fait quoi- MFA obligatoire pour les humains, rôles temporaires pour les machines et le CI.
- Chiffrement au repos (KMS) et en transit (TLS) par défaut ; journaux d'audit centralisés et immuables.
- Réseaux privés, groupes de sécurité restrictifs, aucun stockage objet public par défaut.
Erreur Courante : Une clé d'accès publiée sur un dépôt public est exploitée en quelques minutes. Activez les analyses de secrets (gitleaks) et la rotation automatique.
3. Résilience et Infrastructure as Code #
Tout est reproductible et sauvegardé.
Infrastructure as Code #
terraform fmt -check && terraform validate
terraform plan -out=plan.tfplan && terraform apply plan.tfplan
tflint && checkov -d . # qualité et sécurité de l'IaC
# État distant verrouillé
terraform {
backend "s3" { bucket = "tfstate-prod" key = "reseau/terraform.tfstate" dynamodb_table = "tf-lock" encrypt = true }
}Résilience #
- Déployez sur au moins deux zones de disponibilité ; testez la perte d'une zone.
- Définissez RTO (durée d'arrêt acceptable) et RPO (perte de données acceptable) et dimensionnez sauvegardes et réplication en conséquence.
- Automatisez les sauvegardes et testez les restaurations.
aws backup list-backup-plans
aws rds describe-db-instances --query 'DBInstances[].[DBInstanceIdentifier,MultiAZ,BackupRetentionPeriod]' --output table
aws ec2 describe-availability-zones --query 'AvailabilityZones[].ZoneName'4. Coûts et gouvernance #
Maîtriser dans la durée.
Étiquetage et FinOps #
aws resourcegroupstaggingapi get-resources --tag-filters Key=env --query 'ResourceTagMappingList | length(@)'
aws budgets describe-budgets --account-id 123456789012
aws ce get-anomalies --date-interval StartDate=2026-10-01,EndDate=2026-10-18| Pratique | Bénéfice |
|---|---|
| Étiquetage obligatoire + budgets et alertes | Répartition et détection rapide des dérives |
| Rightsizing mensuel | Moins de ressources surdimensionnées |
| Savings Plans / réservations pour la charge stable | Économies importantes sur le calcul stable |
| Extinction des environnements hors production | Économie nocturne et week-end |
Bonne Pratique : Posez des garde-fous automatiques (policies, SCP, Azure Policy) : interdire les régions non autorisées, imposer le chiffrement, bloquer les ressources publiques.
Schéma de référence et vérification rapide #
Visualiser le principe et le contrôler en ligne de commande.
Schéma de référence #
aws elbv2 describe-target-health --target-group-arn <ARN> --query 'TargetHealthDescriptions[].[Target.Id,TargetHealth.State]' --output table