Cloud best practices

1. Les piliers #

Un cadre commun à tous les fournisseurs.

Vue d'ensemble #

Ces piliers sont des compromis à arbitrer, pas des cases à cocher : plus de résilience coûte plus cher, plus de sécurité peut ralentir les livraisons. L'important est de décider consciemment et de documenter.

2. Sécurité et identité #

Le modèle de responsabilité partagée.

Moindre privilège et traçabilité #

aws sts get-caller-identity
aws iam generate-credential-report && aws iam get-credential-report --query Content --output text | base64 -d | head -3

# Politique minimale (exemple : lecture d'un seul bucket)
cat > policy.json <<'EOF'
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": ["s3:GetObject"], "Resource": "arn:aws:s3:::rapports-prod/*" } ] }
EOF
aws iam create-policy --policy-name lecture-rapports --policy-document file://policy.json
aws cloudtrail lookup-events --max-results 5          # qui a fait quoi

• MFA obligatoire pour les humains, rôles temporaires pour les machines et le CI.
• Chiffrement au repos (KMS) et en transit (TLS) par défaut ; journaux d'audit centralisés et immuables.
• Réseaux privés, groupes de sécurité restrictifs, aucun stockage objet public par défaut.

Erreur Courante : Une clé d'accès publiée sur un dépôt public est exploitée en quelques minutes. Activez les analyses de secrets (gitleaks) et la rotation automatique.

3. Résilience et Infrastructure as Code #

Tout est reproductible et sauvegardé.

Infrastructure as Code #

terraform fmt -check && terraform validate
terraform plan -out=plan.tfplan && terraform apply plan.tfplan
tflint && checkov -d .                                  # qualité et sécurité de l'IaC

# État distant verrouillé
terraform {
  backend "s3" { bucket = "tfstate-prod"  key = "reseau/terraform.tfstate"  dynamodb_table = "tf-lock"  encrypt = true }
}

Résilience #

• Déployez sur au moins deux zones de disponibilité ; testez la perte d'une zone.
• Définissez RTO (durée d'arrêt acceptable) et RPO (perte de données acceptable) et dimensionnez sauvegardes et réplication en conséquence.
• Automatisez les sauvegardes et testez les restaurations.

aws backup list-backup-plans
aws rds describe-db-instances --query 'DBInstances[].[DBInstanceIdentifier,MultiAZ,BackupRetentionPeriod]' --output table
aws ec2 describe-availability-zones --query 'AvailabilityZones[].ZoneName'

4. Coûts et gouvernance #

Maîtriser dans la durée.

Étiquetage et FinOps #

aws resourcegroupstaggingapi get-resources --tag-filters Key=env --query 'ResourceTagMappingList | length(@)'
aws budgets describe-budgets --account-id 123456789012
aws ce get-anomalies --date-interval StartDate=2026-10-01,EndDate=2026-10-18

Bonne Pratique : Posez des garde-fous automatiques (policies, SCP, Azure Policy) : interdire les régions non autorisées, imposer le chiffrement, bloquer les ressources publiques.

Schéma de référence et vérification rapide #

Visualiser le principe et le contrôler en ligne de commande.

Schéma de référence #

aws elbv2 describe-target-health --target-group-arn <ARN> --query 'TargetHealthDescriptions[].[Target.Id,TargetHealth.State]' --output table