Gestion des infrastructures cloud : un guide destiné aux équipes informatiques et aux MSP

La gestion des infrastructures cloud est une discipline opérationnelle à part entière. Les avantages promis par le cloud (ressources à la demande, évolutivité élastique, absence de maintenance matérielle) sont bien réels, mais ils n’éliminent pas pour autant le travail de gestion. Ils en modifient simplement la nature, le faisant passer de la maintenance matérielle à la gestion des configurations, à la maîtrise des coûts, à la surveillance de la sécurité et à la planification des capacités, et ce dans des environnements qui évoluent plus rapidement que ne l’ont jamais fait les infrastructures sur site.

Selon le rapport « State of the MSP » 2026 de Kaseya, 83 % des MSP affirment que leurs outils de gestion informatique améliorent considérablement leur efficacité opérationnelle. Cette efficacité s'applique de plus en plus aux environnements cloud, à mesure que les infrastructures des clients s'éloignent des installations sur site. La plateforme de Kaseya gère les terminaux et les charges de travail dans le cloud pour plus de 50 000 MSP et équipes informatiques à travers le monde, ce qui nous donne une vision claire des domaines dans lesquels la gestion de l'infrastructure cloud est efficace et de ceux où les équipes rencontrent des difficultés.

Ce que recouvre réellement la gestion des infrastructures cloud

La gestion de l'infrastructure cloud désigne l'ensemble des activités opérationnelles continues qui permettent de garantir la sécurité, la performance et la rentabilité des environnements cloud après la migration initiale. Il ne s'agit pas d'un projet ponctuel. Ce n'est pas non plus une tâche dont se charge le fournisseur de services cloud une fois que les charges de travail sont opérationnelles. Il s'agit d'une discipline opérationnelle continue qui nécessite des outils, des processus et une prise en charge bien définis.

Les six domaines clés sont la gestion de la configuration, la gestion des correctifs, la maîtrise des coûts, la surveillance de la sécurité, la sauvegarde et la documentation. Aucun d'entre eux n'est transféré au fournisseur de services cloud. Tous restent sous la responsabilité du client ou de son MSP.

La principale différence opérationnelle par rapport à la gestion sur site réside dans le rythme. Dans les environnements cloud, de nouvelles ressources peuvent être provisionnées et déprovisionnées quotidiennement. Les configurations changent fréquemment, sans les frictions qu’imposerait la gestion des changements sur site. La facturation s’applique en continu, que les ressources soient en production ou inactives. Les pratiques de gestion manuelle qui fonctionnent correctement dans des environnements sur site stables ne sont pas adaptées à ce dynamisme. Un MSP gérant 30 clients, chacun avec un mélange de charges de travail sur site et dans le cloud, ne peut pas suivre manuellement l'état de la configuration et l'exposition aux coûts dans l'ensemble de ces environnements. À cette échelle, les outils et l'automatisation ne sont pas facultatifs.

Gestion de la configuration et dérive

La dérive de configuration correspond à l'accumulation de modifications manuelles qui s'écartent de l'état prévu d'un environnement. Elle est à l'origine de la plupart des incidents de sécurité dans le cloud. Un ingénieur ouvre un groupe de sécurité pour résoudre un problème et oublie de le refermer. Une nouvelle machine virtuelle est déployée sans que le chiffrement soit activé. Un compartiment de stockage est mal configuré par un modèle IaC qui n'a pas été mis à jour. Aucun de ces incidents ne génère d'alerte par défaut. Ils s'accumulent en silence.

Les approches « Infrastructure-as-Code » (IaC) répondent à ce besoin au niveau de la mise en service. Le fait de définir les configurations d'infrastructure sous forme de code, à l'aide d'outils tels que Terraform ou les modèles Azure Resource Manager, permet de soumettre les modifications à un contrôle de version et à une révision par les pairs, et de les appliquer de manière cohérente, plutôt que de les mettre en œuvre manuellement via une console. Tout écart par rapport à l'état défini peut ainsi être détecté.

Pour les MSP qui gèrent les environnements cloud de leurs clients, l'infrastructure en tant que code (IaC) n'est pas toujours envisageable pour tous les clients. La solution pratique consiste à mettre en place une surveillance continue des modifications de configuration. Kaseya Intelligence la reconnaissance de modèles à l'ensemble des environnements gérés afin d'identifier les modifications de configuration qui s'écartent de la configuration de référence, détectant ainsi les dérives avant qu'elles ne se transforment en incident de sécurité ou en problème de disponibilité.

Gestion des correctifs pour les machines virtuelles dans le cloud

Les machines virtuelles hébergées dans le cloud sous Windows ou Linux nécessitent exactement la même gestion des correctifs que les serveurs sur site. Le fournisseur de services cloud est responsable de l'hyperviseur et de l'infrastructure physique. Le système d'exploitation invité, les applications installées et tous les logiciels situés au-dessus de la couche de l'hyperviseur restent sous la responsabilité du client.

C'est l'un des aspects les plus souvent mal compris du modèle de responsabilité partagée dans le cloud. Une instance EC2 ou une machine virtuelle Azure exécutant un système d'exploitation non mis à jour est tout aussi vulnérable qu'un serveur sur site se trouvant dans le même état. Le fournisseur de services cloud ne l'actualisera pas.

VSA et Datto RMM étendent tous deux la gestion automatisée des correctifs aux terminaux hébergés dans le cloud, en utilisant le même déploiement basé sur des agents et la même automatisation pilotée par des règles que ceux utilisés pour les serveurs sur site. Les machines virtuelles dans le cloud sont enregistrées au même titre que les terminaux sur site, gérées depuis la même console et soumises aux mêmes règles de mise à jour. Un MSP n'a donc pas besoin d'un processus de gestion distinct pour le cloud en matière de mise à jour.

Exemple concret : un MSP chargé de la gestion des correctifs sur 500 terminaux sur site peut étendre ces mêmes politiques à 50 machines virtuelles Azure qu'un client a déployées pour une nouvelle application, sans outil ni processus supplémentaire, en déployant l'agent Datto RMM ou VSA lors du processus de provisionnement des machines virtuelles.

Gestion des coûts

La facturation du cloud est complexe, dynamique et difficile à prévoir sans une gestion active. Contrairement aux infrastructures sur site, où les coûts sont en grande partie fixes, les coûts du cloud sont, par nature, variables. Cette variabilité joue en votre faveur lorsque les charges de travail diminuent. Elle joue en votre défaveur lorsque des ressources inutilisées, des instances surdimensionnées et des environnements de test oubliés s’accumulent sans que vous vous en rendiez compte.

Les quatre pratiques de gestion des coûts qui empêchent la prolifération du cloud de réduire les avantages financiers qui ont motivé son adoption au départ :

Optimisation de la taille des instances. Les instances provisionnées pour faire face aux pics de charge et qui ne sont jamais redimensionnées à la baisse une fois ces pics passés constituent une source fréquente de gaspillage. Des analyses régulières d'optimisation de la taille des instances, s'appuyant sur les métriques de CloudWatch ou d'Azure Monitor, permettent d'identifier les instances fonctionnant bien en deçà de leur capacité provisionnée et de recommander des types d'instances plus petits.

Capacité réservée. La tarification à la demande est la solution la plus coûteuse pour exécuter des charges de travail stables. Les instances réservées AWS (AWS Reserved Instances) et les instances virtuelles réservées Azure (Azure Reserved VM Instances) offrent des réductions pouvant atteindre 72 % pour des engagements d'un ou trois ans. Les charges de travail présentant des schémas d'utilisation prévisibles et stables devraient être gérées en mode de tarification réservée, et non à la demande.

Nettoyage des ressources inutilisées. Les volumes EBS non associés, les adresses IP élastiques inutilisées, les équilibreurs de charge orphelins et les compartiments de stockage oubliés génèrent des coûts sans apporter de valeur ajoutée. Un examen mensuel des ressources inutilisées fait partie intégrante de la gestion des coûts du cloud.

Alertes budgétaires. Les hausses imprévues des coûts sont presque toujours détectables avant même qu'elles n'apparaissent sur la facture. La mise en place d'alertes budgétaires dans AWS Cost Explorer ou Azure Cost Management permet d'être averti à temps avant qu'une erreur de provisionnement ou un processus incontrôlé ne se traduise par une augmentation significative des coûts.

Pour les MSP, la maîtrise des coûts représente également une opportunité de générer des revenus. En identifiant et en éliminant 400 dollars par mois de dépenses inutiles liées au cloud, vous devenez un conseiller de confiance. Si vous passez à côté, vous serez perçu comme celui qui a laissé le client gaspiller son argent.

Surveillance de la sécurité

Les environnements cloud génèrent un volume considérable de données de télémétrie de sécurité : journaux d'activité IAM, journaux de flux réseau, appels API, modifications de configuration, événements d'authentification. Le défi pour les MSP qui gèrent des environnements hybrides consiste à normaliser ces données de télémétrie, ainsi que les données relatives aux terminaux et aux e-mails, afin d'obtenir une vue d'ensemble cohérente de la sécurité. Se connecter séparément à AWS CloudTrail et à Azure Monitor pour chaque client afin d'examiner les événements de sécurité ne constitue pas un modèle opérationnel évolutif.

Kaseya SIEM intègre les données télémétriques provenant des principales plateformes cloud, ainsi que les données relatives aux terminaux, au réseau et aux e-mails, offrant ainsi une visibilité unifiée sur la sécurité dans les environnements hybrides à partir d'une console unique. Kaseya Intelligence une reconnaissance automatisée des schémas à l'ensemble de ces données télémétriques afin d'identifier les anomalies que la surveillance basée sur des règles ne permettrait pas de détecter, et met en œuvre des mesures correctives sans attendre qu'un technicien les examine et intervienne.

Trois principes fondamentaux en matière de surveillance de la sécurité qui devraient être mis en place pour tout environnement cloud géré :

1. La journalisation des audits dans le cloud est activée dans toutes les régions. AWS CloudTrail et Azure Monitor Activity Logs constituent la source de référence permettant de savoir qui a effectué quelles actions dans l'environnement cloud. Sans eux, les enquêtes sur les incidents se font à l'aveuglette.

2. Alertes en cas d'actions privilégiées. Les modifications apportées aux politiques IAM, la création de nouveaux comptes administrateur et les modifications des groupes de sécurité doivent déclencher des alertes immédiates. Ce sont ces actions qui précèdent la plupart des compromissions d'environnements cloud.

3. Détection des modifications de configuration. Les modifications apportées aux ressources liées à la sécurité, aux paramètres de chiffrement, aux contrôles réseau et aux configurations d'accès public doivent être détectées et examinées, et non pas découvertes lors d'un audit trimestriel.

Sauvegarde pour les infrastructures cloud

Les outils de sauvegarde natifs du cloud, tels qu'AWS Backup et Azure Backup, offrent des capacités de reprise opérationnelle au sein de l'écosystème du fournisseur. Ce qu'ils n'offrent pas, en revanche, c'est l'indépendance vis-à-vis de cet écosystème. Un compte cloud compromis, une attaque par ransomware qui s'empare des identifiants de connexion au cloud ou un incident du côté du fournisseur peut affecter simultanément à la fois les charges de travail principales et les sauvegardes associées au même compte.

Une sauvegarde indépendante et immuable stockée en dehors de l'infrastructure du fournisseur constitue la couche de protection supplémentaire contre ces scénarios. Datto Backup for Microsoft Azure les machines virtuelles Azure et les fichiers Azure vers le cloud Datto, en dehors de l'écosystème Azure, grâce à un stockage immuable, une réplication toutes les heures et une tarification forfaitaire qui élimine l'imprévisibilité des coûts de sortie de données.

Pour une vue d'ensemble complète de la sauvegarde dans le cloud, y compris la sauvegarde sur site vers le cloud via Datto SIRIS la protection des données SaaS via Datto SaaS Protection, consultez notre guide sur la sauvegarde dans le cloud.

Documentation

Les environnements cloud dépourvus de documentation sont vulnérables sur le plan opérationnel. Il est essentiel de savoir quelles ressources existent, pourquoi elles existent, comment elles sont configurées et comment elles s'interconnectent pour assurer la gestion des incidents, l'intégration des nouveaux collaborateurs, les audits de sécurité et la mise en conformité.

Le rythme des changements dans les environnements cloud rend la documentation plus difficile qu’en milieu sur site, mais aussi plus importante. Une machine virtuelle provisionnée il y a six mois pour un projet désormais terminé, qui n’a jamais été étiquetée ni documentée, fonctionnant à ses propres frais et sans responsable, constitue un problème bien réel et courant. Une règle de groupe de sécurité non documentée, ajoutée par quelqu’un au cours d’un incident survenu tard dans la nuit, représente un risque de sécurité qui ne sera détecté que lorsqu’un auditeur ou une violation de données la mettra en évidence.

IT Glue l'infrastructure de documentation nécessaire aux environnements cloud : schémas d'architecture VPC, structure IAM, configurations des groupes de sécurité, guides de reprise après sinistre et identifiants d'accès, le tout stocké avec une isolation par client et un accès contrôlé. Compliance Manager GRC à IT Glue extraire directement les preuves de conformité et les intégrer à la documentation client, réduisant ainsi la charge de travail manuelle liée à la préparation des audits.

Comment Kaseya 365 la gestion des infrastructures cloud

VSA et Datto RMM étendent la gestion des correctifs, la surveillance et l'automatisation via des agents aux machines virtuelles Windows et Linux hébergées dans le cloud, ainsi qu'aux terminaux sur site, le tout à partir d'une seule console.

La solution SIEM de Kaseya intègre les données de télémétrie des plateformes cloud ainsi que celles des terminaux et des e-mails, offrant ainsi une visibilité unifiée sur la sécurité dans les environnements hybrides.

Kaseya Intelligence applique une reconnaissance automatique des schémas et une réponse automatisée dans tous les environnements gérés, détectant les écarts de configuration et les activités anormales sans nécessiter d'examen manuel de chaque événement.

Datto Backup for Microsoft Azure offre une solution de sauvegarde indépendante et immuable pour les charges de travail Azure en dehors de l'écosystème Azure, avec une réplication toutes les heures et une tarification forfaitaire.

IT Glue stocke la documentation relative aux environnements cloud avec isolation par client, historique des versions et intégration directe avec Compliance Manager GRC la génération de preuves d'audit.

Découvrez Kaseya 365 la gestion des environnements cloud et hybrides