Fiche mémo Concepts du cloud (IaaS, PaaS, SaaS, FaaS, responsabilité, coûts, souveraineté)

Les cinq caractéristiques (NIST)

Libre-service à la demande · accès réseau étendu · mutualisation des ressources · élasticité rapide · service mesuré.

Modèles de service

Modèle	Le fournisseur gère	Vous gérez	Question test
IaaS	matériel, virtualisation	système, logiciels, données	qui patche l'OS ? vous
PaaS	+ système et exécution	application, données	le fournisseur
SaaS	+ application	données, comptes, configuration	le fournisseur
FaaS	+ serveurs, montée en charge	code, droits	forme de PaaS (Microsoft) ; absent du NIST

Responsabilité partagée

Zone	IaaS	PaaS	SaaS
Données, identités, accès	Vous	Vous	Vous
Applications	Vous	Mixte	Mixte
Système (OS)	Vous	Cloud	Cloud
Réseau	Vous	Mixte	Cloud
Matériel, centre de données	Cloud	Cloud	Cloud

Matrice illustrative d'après Microsoft Learn ; elle varie selon le service.

À retenir : le fournisseur est responsable du cloud ; vous l'êtes dans le cloud (données, accès, configuration).

Régions et zones

Région : lieu géographique ; zone : un ou plusieurs centres de données séparés (alimentation, réseau propres).
Une zone protège d'une panne locale, pas d'une panne de région.
Certaines régions Azure n'ont pas de zones.
Données stockées dans une région AWS : elles n'en sortent pas sans transfert ou réplication explicite.

Coûts

Piège	Réflexe
Ressource oubliée (disque, IP, copie)	supprimer en fin de test, étiqueter
Sortie de données (egress)	la compter avant de choisir la région
IPv4 publique	éviter si inutile
Engagement 1 ou 3 ans	seulement après observation d'un usage stable
Palier gratuit	conditions changeantes, relire la page officielle

Attention : un budget alerte, il n'arrête rien ; il peut y avoir un délai avant la notification. Poser budget et alerte avant de créer la moindre ressource.

Identité et accès

Moindre privilège ; second facteur (de préférence clé de sécurité) ; compte racine verrouillé, hors usage courant.
Identifiants temporaires (rôles, fédération) plutôt que clés permanentes.

Attention : clés d'accès. Jamais dans un fichier, un dépôt Git, une capture, un message ni un prompt. En cas de fuite : révoquer, puis recréer.

Réseau virtuel

Réseau privé logique : sous-réseaux, routes, filtres, passerelles, points de terminaison privés. Pas d'adresse publique ni de route Internet = pas joignable de l'extérieur. AWS : VPC (sous-réseau dans une zone) ; Azure : VNet (couvre toutes les zones). Le service est gratuit ; certains composants sont facturés.

Stockage

Type	Idée	Exemple
Objet	objets plus métadonnées, accès HTTP	S3, Blob Storage
Bloc	disque brut attaché à une machine	disques d'instance, Azure Disks
Fichier	partage monté (SMB, NFS)	services de fichiers, Azure Files

Compartiment S3 : privé par défaut. Ne pas ranger une base de données dans du stockage objet.

Réversibilité et souveraineté (analyse de l'auteur, sans source officielle)

Avant de s'engager : format et coût de sortie, infrastructure décrite en code, services propriétaires.
Localisation (où ?) ≠ résidence (règle imposée) ≠ souveraineté (quel droit s'applique ?). Cette dernière est une question juridique : non vérifiée ici.

Avant de commencer chez un fournisseur

Budget et alerte posés ? Étiquettes prévues ?
Compte racine protégé, aucun accès par clé permanente ?
Données fictives uniquement ?
Plan de suppression des ressources de test ?
Validation par Stéphane.